CVE-2023-43902: escalada de privilegios en EMSigner vía recuperación de contraseña

Resumen

Nombre: Escalada de privilegios vía la funcionalidad "Olvidé mi contraseña".

Producto: EMSigner
Versiones afectadas: EMSigner v2.8.7
Componente afectado: Función de recuperación de contraseña. EndPoint /Areas/Login/PasswordRecovery y parámetro web "Email"
Tipo de ataque: Remoto
Impacto: Escalada de privilegios
CVSSv3.1: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H — Base Score 8.8
CVE: CVE-2023-43902

Descripción

Control de acceso incorrecto en la función "Olvidé mi contraseña" de EMSigner v2.8.7 permite a atacantes no autenticados acceder a cuentas de cualquier usuario registrado —incluyendo cuentas con privilegios de administrador— mediante un token de restablecimiento manipulado.

Vulnerabilidad

La vulnerabilidad surge por controles de acceso insuficientes en el proceso de recuperación de contraseña. La aplicación expone una actividad relacionada con el restablecimiento y no valida adecuadamente privilegios, permitiendo que un usuario de bajos privilegios manipule parámetros para restablecer contraseñas de cuentas con privilegios superiores, incluyendo administradores.

Vector de ataque

La vulnerabilidad se explota como un bypass de autenticación. Un atacante con acceso de bajos privilegios puede manipular parámetros en el token de restablecimiento generado por "Olvidé mi contraseña" y establecer una nueva contraseña para cuentas con privilegios de administrador.

Explotación

Durante la evaluación de una aplicación web que usaba EMSigner se descubrió la siguiente cadena de ataque:

1. Usuario de bajos privilegios visita "Olvidé mi contraseña" y dispara un reset con su cuenta de prueba.
2. Tras completar el formulario, el atacante recibe un enlace de restablecimiento.
3. El consultor abre el formulario PasswordRecovery, dispara "Olvidé mi contraseña" para el objetivo, intercepta la solicitud y modifica el parámetro email a la dirección del atacante.
4. El atacante puede iniciar sesión con las nuevas credenciales, accediendo a la cuenta del objetivo y su información sensible.

Mitigación

Existe una versión actualizada de EMSigner disponible en el sitio del proveedor.

Crédito

Vulnerabilidad descubierta por Jean Paul Granados (SecPro).

Referencias

Sitio del proveedor: https://www.emsigner.com/

Cronología

• 2023-02-27 — Vulnerabilidad descubierta.
• 2023-05-08 — Proveedor contactado.
• 2023-05-24 — Proveedor confirma el reporte.
• 2023-09-01 — Vulnerabilidad parcheada.
• 2023-10-27 — Divulgación pública.