Программное обеспечение OpenReception для записи на прием предоставляет платформу для записи на прием со сквозным шифрованием. До версии 1.0.4 маршрут POST /api/tenants/{tenantId}/staff/{staffId}/crypto принимает и сохраняет контролируемые злоумышленником открытые ключи ML-KEM-768 от любого арендатора на платформе без аутентификации. Обработчик регистрирует предупреждение «Несанкционированная попытка хранения криптографического ключа», когда ни сеанс, ни регистрационный файл cookie отсутствуют, а затем продолжает вставлять строку, несмотря на это.
Заявление E2E платформы о том, что «даже администраторы не могут просматривать конфиденциальную информацию», не соответствует действительности: любой сетевой злоумышленник, не прошедший проверку подлинности, может зарегистрироваться в качестве дополнительного получателя шифрования для будущих посещений любого арендатора. Второй вариант ошибки подавляет запись в журнале с предупреждением о несанкционированном доступе. Схема Zod делает поле «email» необязательным.
Если в тексте запроса отсутствует `email` и запрос не содержит регистрационных файлов cookie, сравнение `registrationEmail === email` становится `unопределённым === undef`, что оценивается как `true`. Обработчик рассматривает запрос как законный поток регистрации, полностью пропускает предупреждение и сохраняет строку. Успешное сохранение по-прежнему записывается в строку журнала `[info]`, но предупреждение, связанное с безопасностью, которое операторы, скорее всего, будут отслеживать или оповещать, исчезло.
Таблица `staff_crypto` не имеет уникального ограничения для `user_id`, поэтому произвольное количество строк злоумышленника может сосуществовать для одного и того же идентификатора персонала, и все они возвращают значение `is_active=true`. Предоставленный `staffId` не обязательно должен совпадать с каким-либо существующим пользователем или ожидающим приглашения. Проверка схемы для `passkeyId`, `publicKey` и `privateKeyShare` также является слабой: литеральная строка `<placeholder-base64>` была принята, что указывает на отсутствие проверки длины, формата или криптографической достоверности, кроме наличия поля.
Эта слабость не зависит от обхода аутентификации, но усугубляет ее: отравленный каталог также может быть заполнен неверными записями, которые нарушают законные потоки бронирования. Внедренный ключ используется потоком публичного бронирования. После завершения неаутентифицированных церемоний «bootstrap-challenge» и «bootstrap-verify» в качестве «пациента» полученный «bookingAccessToken» принимается командой «GET /api/tenants/{id}/appointments/staff-public-keys», которая возвращает ключи, контролируемые злоумышленником, наряду с любыми законными ключами.
Новое назначение шифрует свой туннельный ключ с помощью ML-KEM для всех перечисленных получателей, поэтому злоумышленник становится со-получателем шифрования и может декапсулировать туннельный ключ с помощью соответствующего секрета. После этого все полезные данные о встречах для этого бронирования можно расшифровать. Версия 1.0.4 исправляет проблему.
Показать оригинальное описание (EN)
OpenReception's appointment booking software provides an end-to-end encrypted appointment booking platform. Prior to version 1.0.4, the route `POST /api/tenants/{tenantId}/staff/{staffId}/crypto` accepts and stores attacker-controlled ML-KEM-768 public keys against any tenant on the platform without authentication. The handler logs an "Unauthorized crypto key storage attempt" warning when neither a session nor a registration cookie is present, then proceeds to insert the row regardless. The platform's E2E claim that "even administrators cannot view sensitive information" is broken: any unauthenticated network attacker can register themselves as an additional encryption recipient for any tenant's future patient appointments. A second variant of the bug suppresses the unauthorized-warning log entry. The Zod schema makes the `email` field optional. When the request body omits `email` and the request carries no registration cookie, the comparison `registrationEmail === email` becomes `undefined === undefined`, which evaluates to `true`. The handler treats the request as a legitimate registration flow, skips the warning entirely, and stores the row. Successful storage is still recorded as an `[info]` log line, but the security-relevant warning that operators are most likely to monitor or alert on is gone. The `staff_crypto` table has no unique constraint on `user_id`, so an arbitrary number of attacker rows can coexist for the same staff identifier and all return as `is_active=true`. The supplied `staffId` does not need to match any existing user or pending invite. Schema validation on `passkeyId`, `publicKey`, and `privateKeyShare` is also weak: the literal string `<placeholder-base64>` was accepted, indicating no length, format, or cryptographic-validity check beyond field presence. This weakness is independent of the auth bypass but compounds it: a poisoned directory can also be filled with malformed entries that break legitimate booking flows. The injected key is consumed by the public booking flow. After completing the unauthenticated `bootstrap-challenge` and `bootstrap-verify` ceremony as a "patient", the resulting `bookingAccessToken` is accepted by `GET /api/tenants/{id}/appointments/staff-public-keys`, which returns the attacker-controlled keys alongside any legitimate ones. A new appointment encrypts its tunnel key with ML-KEM to all listed recipients, so the attacker becomes a co-recipient of the encryption and can decapsulate the tunnel key with the matching secret. From there, all appointment payloads for that booking are decryptable. Version 1.0.4 patches the issue.
Характеристики атаки
Последствия
Строка CVSS v3.1