注目★★★★★GitHub Advisory
Froxlor API、管理者とユーザーの認証情報・2FA シードを露出
30秒で把握
- 1Froxlor の Customers.get() ・ Customers.listing() 等の API がパスワードハッシュと TOTP シードを API レスポンスで返すバグ
- 2オフライン破解でパスワード奪取・TOTP シードから 2FA コード生成が可能・両方露出でアカウント完全乗っ取りリスク
- 3Froxlor ユーザーは管理者・顧客アカウントの 2FA 設定と API アクセスログを即確認・TOTP 再登録とパスワード強制変更を実施
要約
Froxlor の複数の API エンドポイントが、顧客・管理者・FTP ユーザーのパスワードハッシュと 2FA の TOTP シード材料をそのまま JSON レスポンスで返している。`SELECT *` で取得した全データベース行をフィルタリングなしに API クライアントへ返すため、認証情報相当の機密データが露出する。パスワードハッシュはオフラインで破解して乗っ取りに転用でき、TOTP シードからは有効な 2FA コード生成が可能になる。
あなたへの影響
Froxlor を API 連携で運用するチームは、管理者アカウントと顧客アカウントの 2FA 状態を即座に確認し、必要に応じて TOTP シードの再登録とパスワード変更を実施してください。
推奨：API キー・トークンに対するアクセス制御ログも確認し、不審な利用がないか検査してください。