Descripción
vlife hasta la versión 2.0.1 contiene una vulnerabilidad de omisión de autenticación que permite a atacantes no autenticados falsificar JWT usando la clave de firma HS256 embebida en el código (hard-coded) en TokenUtil. Los atacantes pueden firmar un token con superUser=true y claims groupIds arbitrarios para obtener acceso de superadministrador a cualquier URL en instancias de vlife.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- vlife Afectadas: hasta 2.0.1
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso de hackmd.iohackmd.io/@1ExmmukzRMWN7B4gQ4W-4Q/vlife-hardcoded-jwt-secret-token-fo…
- Referencia en github.comgithub.com/wwwlike/vlife/blob/4f03b19b91d82781939653f5b0d9a70721734d6…
- Referencia en github.comgithub.com/wwwlike/vlife/blob/4f03b19b91d82781939653f5b0d9a70721734d6…
- Referencia en github.comgithub.com/wwwlike/vlife
- Aviso de vulncheck.comvulncheck.com/advisories/vlife-through-2.0.1-authentication-bypass-vi…
Ver el texto original en inglés (CVE.org)
vlife through 2.0.1 Authentication Bypass via Hardcoded JWT Secret in TokenUtil
vlife through 2.0.1 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge JWTs using the hardcoded HS256 signing key in TokenUtil. Attackers can sign a token with superUser=true and arbitrary groupIds claims to gain super administrator access to any URL on vlife instances.