RansomLook создал ключ подписи сеанса Flask без явного ограничения прав доступа к файлам. Файл secret_key был создан с использованием разрешений и umask процесса по умолчанию, в результате чего такие разрешения, как 0644, под общей маской 022. Следовательно, другие локальные пользователи, имеющие доступ к домашнему каталогу RansomLook, могут прочитать криптографический секрет приложения.
Открытый ключ критически важен для безопасности, поскольку он используется для подписи файлов cookie сеанса Flask, а также участвует в создании устаревшего ключа API-ключа. Злоумышленник, получивший ключ, может создать действительные файлы cookie сеанса и выдать себя за аутентифицированного пользователя, включая администратора. В конфигурациях LDAP эксплуатация может быть особенно простой, поскольку загрузчик пользователей сеанса не требует, чтобы предоставленное имя пользователя соответствовало существующему локальному пользователю.
Для успешной эксплуатации требуется локальный доступ, достаточный для чтения неправильно защищенного файла, но это может привести к полной компрометации средств контроля аутентификации и авторизации RansomLook. Патч автоматически создает новые файлы секретных ключей с разрешениями 0600, а также ограничивает разрешения для существующих файлов ключей во время запуска приложения.
Показать оригинальное описание (EN)
RansomLook created its Flask session-signing key without explicitly restricting the file permissions. The secret_key file was created using the process's default permissions and umask, resulting in permissions such as 0644 under a common 022 umask. Consequently, other local users able to access the RansomLook home directory could read the application's cryptographic secret. The exposed key is security-critical because it is used to sign Flask session cookies and is also involved in the legacy API-key key derivation. An attacker who obtains the key can generate valid session cookies and impersonate an authenticated user, including an administrator. In LDAP configurations, exploitation may be particularly straightforward because the session user loader does not require the supplied username to correspond to an existing local user. Successful exploitation requires local access sufficient to read the improperly protected file, but can result in complete compromise of RansomLook's authentication and authorization controls. The patch creates new secret-key files atomically with permissions 0600 and also restricts permissions on existing key files during application startup.
Характеристики атаки
Последствия
Строка CVSS v4.0