ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يحتوي MuseBot قبل الإصدار 2.0.0 على ثغرة تجاوز المصادقة التي تتيح للمهاجمين الذين ليس لديهم مصادقة تزوير جلسات المسؤول باستخدام مفتاح الجلسة الافتراضي المثبت مسبقاً session_key المتمثل في 'muse_bot_session_key'. يمكن للمهاجمين توقيع ملف تعريف ارتباط لجلسة MuseBot يحمل معرف مستخدم للحصول على صلاحيات إدارية كاملة، وقراءة تجزئات كلمات المرور، وسجلات المحادثة، وإعدادات البوت، وإيقاف الروبوتات.
المعالجة
المراجع
- تصحيحhttps://github.com/yincongcyincong/MuseBot/commit/139f6158b50283b983d76976f593a3a09a064681
- تصحيحhttps://github.com/yincongcyincong/MuseBot/commit/3e64518948fe7037058f07ef987d35216c3f0cae
- تحذيرhttps://hackmd.io/@hieuPenguinnn/musebot-admin-default-session-key-auth-bypass
- تحذيرhttps://www.vulncheck.com/advisories/musebot-before-2.0.0-authentication-bypass-via-hard-coded-session-key
- مرجعhttps://github.com/yincongcyincong/MuseBot
- مرجعhttps://github.com/yincongcyincong/MuseBot/blob/v1.0.42/admin/conf/conf.go#L28
- مرجعhttps://github.com/yincongcyincong/MuseBot/blob/v1.0.42/admin/controller/login.go#L19-L88
- مرجعhttps://github.com/yincongcyincong/MuseBot/issues/61