CVE-2023-43901: modificación no autorizada de usuarios en EMSigner

Resumen

Nombre: Fallo de lógica de negocio en la gestión de usuarios de la aplicación web de EMSigner que permite modificación no autorizada de nombres y privilegios de usuarios.

Producto: EMSigner
Versiones afectadas: EMSigner v2.8.7
Componente afectado: EndPoint /eMsecure/Users/AdhocUser y parámetro web "Name"
Tipo de ataque: Remoto
Tipo de vulnerabilidad: Control de acceso incorrecto
Impacto: Integridad
CVSSv3.1: AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L — Base Score 7.1
CVE: CVE-2023-43901

Descripción

Control de acceso incorrecto en el formulario de creación de Adhoc User de EMSigner v2.8.7 permite a atacantes no autenticados modificar arbitrariamente nombres de usuario y privilegios usando la dirección de correo de un usuario registrado.

Vulnerabilidad

La vulnerabilidad se origina en un fallo crítico de lógica de negocio dentro del sistema de gestión de usuarios. Este fallo permite a usuarios no autorizados manipular datos de usuarios —incluyendo cambiar nombres y degradar privilegios— al usar la dirección de correo de un usuario registrado.

Vector de ataque

Se explota mediante el formulario o solicitud web de creación de Adhoc User. Un atacante puede modificar nombres y privilegios enviando una petición con el parámetro "Name" y el correo de un usuario existente.

Explotación

Durante la evaluación de una aplicación web que usaba EMSigner, se descubrió que el formulario AdHoc User permitía sobrescribir o modificar datos de usuarios existentes cuando se usaba el correo de un usuario registrado.

1. Inicio de sesión como usuario con bajos privilegios y acceso al formulario de creación de Adhoc Users.
2. El atacante envía una petición POST al endpoint /eMsecure/Users/AdhocUser con el parámetro "Name" establecido a un nuevo nombre y el correo de un usuario existente.
3. El servidor procesa la solicitud, actualiza el nombre del usuario y degrada los privilegios asociados al correo provisto.
4. El nombre de la víctima queda cambiado y sus privilegios reducidos al mínimo.

Mitigación

Existe una versión actualizada de EMSigner disponible en el sitio del proveedor.

Crédito

Vulnerabilidad descubierta por Jean Paul Granados (SecPro).

Referencias

Sitio del proveedor: https://www.emsigner.com/

Cronología

• 2023-02-27 — Vulnerabilidad descubierta.
• 2023-05-08 — Proveedor contactado.
• 2023-05-24 — Proveedor confirma el reporte.
• 2023-09-01 — Vulnerabilidad parcheada.
• 2023-10-27 — Divulgación pública.