Găurire critică la eMudhra: Autentificarea OTP poate fi ocolită ușor

Cum se manipulează starea sesiunii?

Cercetători în securitate au identificat o vulnerabilitate gravă în sistemul de autentificare cu un singur factor al platformei e Mudhra. Problema permite atacatorilor să sune ocolirea protecțiilor standard de login, lăsând utilizatorii expuși dacă se bazează exclusiv pe parole temporare (OTP).

Nu a fost necesară nicio măsură suplimentară de securitate pentru a exploata această breșă, subliniind riscurile modelelor de securitate cu un singur strat.

Problema fundamentală stă în modul în care platforma validează sesiunile. Atacatorii pot manipula parametrii specifici ai cererii pentru a sări peste etapa de verificare OTP.

Practic, o pereche de credențiale valide acordă acces complet, chiar dacă codul temporar nu a fost introdus. Breșa persistă chiar și atunci când utilizatorul nu a încă tastat numărul generat, creând o cale directă către conturile protejate.

Analiza tehnică arată că serverul nu impune verificări stricte ale stării.

Când se trimite o cerere de autentificare, backend-ul nu confirmă dacă etapa OTP este completă.

Rezolvă patch-urile lacuna de logică?

Un atacator interceptează sau retransmite pachetul inițial de autentificare și adaugă un flag de succes la Sistemul acceptă acest semnal modificat ca dovadă a identității, permițând atacatorului să stabilească un token de sesiune valid.

Totul se întâmplă fără ca atacatorul să cunoască valoarea reală a parolei temporare.

Cercetătorii au demonstrat exploatarea folosind instrumente HTTP standard.

Au arătat că modificarea câmpului `status` din payload-ul JSON declanșează ocolirea. Logica aplicației tratează statutul „success” ca confirmare finală, ignorând complet absența câmpului de intrare OTP. Această supraveghere de design provine din încrederea excesivă în indicatorii de pe partea clientului.

Validarea de pe partea serverului rămâne slabă în acest flux specific. Utilizatorii cu conturi de valoare ridicată se află în pericol imediat.

Dezvoltatorii trebuie să implementeze o gestionare riguroasă a stării pe partea serverului.

Corecția necesită verificarea bazei de date OTP înainte de emiterea unui token de sesiune. Dacă codul nu corespunde, autentificarea trebuie să eșueze imediat. Patch-urile actuale se concentrează pe adăugarea acestei verificări obligatorii, asigurându-se că nicio sesiune nu pornește până când codul corect nu este validat.

Cum manipulează atacatorii starea sesiunii?

În plus, limitarea ratelor ajută la prevenirea încercărilor brute-force. Actualizarea țintește punctul final specific responsabil de finalizarea autentificării.

Cine este afectat de această ocolire? Orice utilizator care se autentifică prin fluxul de autentificare cu un singur factor al e Mudhra este vulnerabil. Aceasta include persoane fizice și organizații care se bazează pe securitate doar cu OTP. Utilizatorii cu factori multipli pot fi în siguranță dacă factorul primar este robust.

Cât de dificilă este exploatarea? Pentru adversarii pricepuți, atacul este tehnic simplu.

Necesită doar trimiterea unei cereri HTTP modificate. Nu sunt necesare instrumente avansate sau software personalizat pentru a declanșa breșa.

Când va fi disponibilă corecția?

Un patch este așteptat în următorul ciclu programat de lansare. Administratorii ar trebui să monitorizeze canalele oficiale pentru actualizări. Măsurile interimare includ aplicarea temporară a listelor albe de IP-uri.