...
Objet | Vulnérabilité dans esup-otp-cas | ||
Référence | ESUP-2025-AVI-001 | ||
Date de la première version | 15 janvier 2025 | ||
Date de la dernière version | 15 janvier 2025 | ||
Source | INSA de Rennes | ||
Diffusion de cette version | Communauté ESUP-PortailPublique | ||
Historique |
| Planning prévisionnel |
|
Planning prévisionnel | - | ||
Pièces jointes | - |
Risque
Possbilité de contourner la demande de code OTP dans esup-otp-cas
L'exploitation de cette vulnérabilité pourrait permettre à un attaquant ayant déjà réussi à obtenir le mot de passe d'un utilisateur de passer outre l'OTP.
...
Une vulnérabilité a été découverte dans l’application le module esup-otp-cas, logiciel utilisé pour l’authentification double facteur dans Apereo CAS.
Cette vulnérabilité permet à un attaquant de ne pas avoir besoin de rentrer un code OTP dans esup-otp-cas pour valider l'authentification lors du facteur esup-otp.
...
Les administrateurs système sont fortement encouragés à mettre à jour esup-otp-cas vers la version 1.2.3 ou ultérieure pour corriger qui corrige ce problème.
Pour mettre à jour esup-otp-cas sur un serveur CAS 7.1.x par exemple, modifiez/adaptez la ligne suivante du fichier build.gradle du serveur CAS :
| Bloc de code |
|---|
implementation " org.esup-portail:esup-otp-cas:v1.2.3-cas_v7.1.x" |
...