注目★★★★★GitHub Advisory
MantisBT 2.28.3 以前、SOAP API の認証回避で管理者権限奪取可能
30秒で把握
- 1MantisBT 2.28.3 以前の SOAP API で認証回避脆弱性が発見、クッキー文字列で任意ユーザーに成りすまし可能
- 2デフォルト自由登録が有効なため初期アクセスなしで悪用可能、管理者権限と全課題・添付ファイル・ユーザー情報へのアクセス奪取が実行可能
- 3REST API と Web UI は非影響、即座に 2.28.4 以上への更新と自由登録無効化を検討すべき
要約
MantisBT 2.28.3 以前の SOAP API に認証回避脆弱性があり、任意のユーザーが他のユーザー (管理者含む) に成りすましてアクセス可能。攻撃者は被害者のクッキー文字列があれば、被害者のパスワードを知らなくてもユーザーを偽装でき、デフォルトで自由登録が有効なため初期アクセスなしで悪用可能。REST API と Web UI は影響を受けない (REST API はサーバー側でユーザー名を検証、Web UI は PHPSESSID で認証)。SOAP API の 71 操作を通じて全プロジェクトの課題・添付ファイル・ユーザー情報の読み書き、プロジェクト削除などの破壊的操作が可能。
あなたへの影響
MantisBT を SOAP API 経由で運用する場合、即座に 2.28.4 以上への更新を実施し、可能であれば自由登録の無効化 ($g_allow_signup = OFF) を検討してください。
推奨：既存ユーザーのクッキーログが記録されている環境では、不審なアクセスパターンの監査も推奨されます。