Программное обеспечение OpenReception для записи на прием предоставляет платформу для записи на прием со сквозным шифрованием. До версии 1.0.5 конечная точка «добавить в туннель» создавала новую строку встречи в любом клиентском туннеле без какой-либо аутентификации вызывающего абонента. Запрос, который предоставляет любой действительный `tunnelId` и любой действительный `emailHash` (они не обязательно должны принадлежать одному и тому же туннелю), приводит к вставленной встрече со `status = "CONFIRMED"`, контролируемыми злоумышленником полями зашифрованного текста, контролируемыми злоумышленником датой и продолжительностью и выбранным злоумышленником агентом.
Конечная точка проверяет только то, что какой-то туннель существует с заданным `emailHash`, а затем записывает встречу, используя напрямую предоставленный злоумышленником `tunnelId`. Поиск `emailHash` по сути является проверкой существования клиента; он не аутентифицирует вызывающего абонента как владельца предоставленного `tunnelId`. В сочетании с отсутствием какого-либо сеанса, заголовка авторизации, токена доступа к резервированию или PoW это позволяет конечной точке принимать произвольные записи о встречах в произвольные туннели.
Напротив, для родственной конечной точки «create-new-client» (используемой для загрузки совершенно нового клиентского туннеля) требуется токен доступа к резервированию начальной загрузки носителя, выданный потоком начальной загрузки / начальной загрузки. Конечная точка «добавить в туннель», предназначенная для вернувшихся клиентов, заказывающих дополнительные встречи, не имеет эквивалентного шлюза. Собственное промежуточное программное обеспечение приложения подтверждает, что это сделано намеренно: `add-to-tunnel` явно указан в списке разрешенных общедоступных маршрутов apiAuthHandle наряду с конечными точками начальной загрузки и вызова (которые на законных основаниях не имеют сеанса).
Версия 1.0.5 устраняет проблему.
Показать оригинальное описание (EN)
OpenReception's appointment booking software provides an end-to-end encrypted appointment booking platform. Prior to version 1.0.5, the `add-to-tunnel` endpoint creates a new appointment row in any client tunnel without any caller authentication. A request that supplies any valid `tunnelId` and any valid `emailHash` (the two need not belong to the same tunnel) results in an inserted appointment with `status = "CONFIRMED"`, attacker-controlled ciphertext fields, attacker-controlled date and duration, and an attacker-chosen agent. The endpoint validates only that some tunnel exists with the given `emailHash`, then writes the appointment using the attacker-supplied `tunnelId` directly. The `emailHash` lookup is effectively an existence check on the tenant; it does not authenticate the caller as the owner of the supplied `tunnelId`. Combined with the absence of any session, Authorization header, booking access token, or PoW, this makes the endpoint accept arbitrary appointment writes into arbitrary tunnels. By contrast, the sibling endpoint `create-new-client` (used to bootstrap a brand-new client tunnel) requires a Bearer bootstrap booking access token issued by the bootstrap-challenge / bootstrap-verify flow. The `add-to-tunnel` endpoint, intended for return-clients booking additional appointments, has no equivalent gate. The application's own middleware confirms this is intentional: `add-to-tunnel` is explicitly listed in the apiAuthHandle public-route allowlist alongside the bootstrap and challenge endpoints (which legitimately have no session). Version 1.0.5 fixes the issue.
Характеристики атаки
Последствия
Строка CVSS v3.1