注目★★★★★GitHub Advisory
Pheditor、初期パスワード変更時の認証回避－任意のパスワード設定が可能
30秒で把握
- 1Pheditor の強制パスワード変更フロー (初期パスワード `admin` のまま) で、現パスワード検証が実装されていない脆弱性が報告
- 2初期パスワド未変更のインスタンスで、任意のパスワード設定と認証セッション奪取が可能
- 3初期パスワド変更済みか即確認、未変更なら直ちにパスワード変更とログ確認を実施
要約
Pheditor の強制パスワード変更フロー (初期パスワード `admin` のまま) で、現在のパスワード検証が実装されていない脆弱性が報告された。クライアントから送信されたパスワードが実際に一致するか確認せず、`pheditor_password` に空でない値があれば変更フォームに到達でき、`pheditor_new_password` と `pheditor_confirm_password` をリクエストに含めるだけで認証なしに任意のパスワードを設定できる。初期パスワードをまだ変更していないインスタンスでは、認証されたセッションを奪取される。
あなたへの影響
Pheditor を本番運用している場合、初期パスワードが変更されているか即座に確認し、未変更なら直ちにパスワード変更とセッション再設定が必須。
推奨：既に乗っ取られている可能性も想定し、アクセスログで不正アクセスの有無を確認すべき。