...
Objet | Vulnérabilité dans esup-otp-cas |
Référence | ESUP-2025-AVI-001 |
Date de la première version | 15 janvier 2025 |
Date de la dernière version | 15 janvier 2025 |
Source | INSA de Rennes |
Diffusion de cette version | Communauté ESUP-PortailPublique |
Historique |
|
Planning prévisionnel | - |
Pièces jointes | - |
Risque
Possbilité de contourner la demande de code OTP dans esup-otp-cas
L'exploitation de cette vulnérabilité pourrait permettre à un attaquant ayant déjà réussi à obtenir le mot de passe d'un utilisateur de passer outre l'OTP.
Systèmes affectés
- Cette vulnérabilité affecte potentiellement toutes les versions d'esup-otp-cas installé sur un serveur Apereo CAS.
- Le serveur esup-otp-cas-server n'est pas concerné.
...
Une vulnérabilité a été découverte dans l’application le module esup-otp-cas, logiciel utilisé pour l’authentification double facteur dans Apereo CAS.
Cette vulnérabilité permet à un attaquant de ne pas avoir besoin de rentrer un code OTP dans esup-otp-cas pour valider l'authentification lors du facteur esup-otp.
Solutions
Complexité d'exploitation
Faible, car l'attaquant peut exploiter la vulnérabilité sans compétences techniques particulières.
Conditions préalables
Être authentifié avec identifiant et mot de passe.
Solutions
Les administrateurs système sont fortement encouragés à mettre Mettre à jour esup-otp-cas : vers la version 1.2.3 ou ultérieure qui corrige ce problème.
Pour mettre à jour esup-otp-cas sur un serveur CAS 7.1.x par exemple, modifiez/adaptez la ligne suivante du fichier build.gradle du serveur CAS :
| Bloc de code |
|---|
implementation " org.esup-portail:esup-otp-cas:v1.2.3-cas_v7.1.x" |
...