Vulnerabilidad en el algoritmo hash MD5 en Opencast (CVE-2020-5229)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-327 Uso de algoritmo criptográfico vulnerable o inseguro

Fecha de publicación:

30/01/2020

Última modificación:

05/02/2020

Descripción

Opencast versiones anteriores a 8.1, almacena contraseñas usando el algoritmo hash MD5 bastante antiguo y criptográficamente no seguro. Además, los hash son salados utilizando el nombre de usuario en lugar de una sal aleatoria, causando que los hash para usuarios con el mismo nombre de usuario y contraseña choquen, lo que es problemático, especialmente para usuarios populares tales como el usuario predeterminado "admin". Esto esencialmente significa que para un atacante, podría ser factible reconstruir la contraseña de un usuario dado el acceso a estos hashes. Considere que los atacantes al necesitar acceso a los hashes significa que deben obtener acceso a la base de datos en la que se almacenan primero, para que sean capaces de descifrar las contraseñas. El problema es abordado en Opencast versión 8.1, que ahora utiliza el algoritmo de hash de contraseña bcrypt moderno y mucho más fuerte para almacenar contraseñas. Tome en cuenta que los hashes antiguos permanecen MD5 hasta que se actualiza la contraseña. Para obtener una lista de los usuarios cuyos hash de contraseña son almacenados con MD5, visualice al endpoint REST "/user-utils/users/md5.json".

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.10 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

8.10

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:L/Au:S/C:P/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 5.50 MEDIA
Vector: AV:N/AC:L/Au:S/C:P/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno