Dkonis

Existe uma falha de bypass de autenticação nas interfaces de usuário (UIs) hospedadas Login V1 e Login V2. O sistema permite o registro de uma passkey ou outro autenticador durante sessões de login apenas para identificação, antes que qualquer fator primário seja verificado. Um invasor não autenticado que conheça o nome de login de uma vítima pode registrar um autenticador controlado pelo invasor para obter acesso não autorizado à conta, ignorando senhas e a autenticação de múltiplos fatores (MFA).

O DataHub é uma plataforma de metadados de código aberto. Nas versões afetadas, um usuário com privilégios limitados poderia remover um usuário, editar membros de um grupo ou editar as informações do perfil de outro usuário devido a privilégios padrão excessivamente amplos. Esse problema pode resultar na escalada de privilégios para usuários com privilégios limitados, chegando a privilégios de administrador, caso exista um grupo com privilégios de administrador. O problema pode não afetar instâncias que tenham modificado os privilégios padrão.

The issue concerns the use of a SHA-1 HMAC with a short key length for signing session tokens in DataHub Frontend, making it vulnerable to brute force attacks by sufficiently resourced actors. An authenticated attacker could exploit this to obtain escalated privileges by generating a privileged session cookie. The vulnerability is exacerbated by the default settings of the Play LegacyCookiesModule and the shorter than recommended key length for the signing key.

DataHub is an open-source metadata platform. The issue arises from the configuration of DataHub Frontend's sessions using Play Framework's default settings for stateless sessions, which do not set an expiration time for a cookie. This means if a session cookie is leaked, it remains valid indefinitely. DataHub utilizes a stateless session cookie that is not invalidated upon logout; instead, it is removed from the browser, prompting the user to log in again. However, an attacker who extracts a cookie from an authenticated user could continue to use it, as there is no validation for the time window during which the session token is valid. This is due to the combination of using LegacyCookiesModule from Play Framework and the default settings that do not set an expiration time.