Descripción
MuseBot anterior a 2.0.0 contiene una vulnerabilidad de omisión de autenticación que permite a atacantes no autenticados falsificar sesiones de administrador utilizando la session_key por defecto embebida en el código (hard-coded) 'muse_bot_session_key'. Los atacantes pueden firmar una cookie MuseBot-session que contenga un user_id para obtener acceso administrativo completo, leer hashes de contraseñas, registros de chat y la configuración de los bots, y detener bots.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- MuseBot Afectadas: anteriores a 2.0.0
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/yincongcyincong/MuseBot/issues/61
- Parchegithub.com/yincongcyincong/MuseBot/commit/3e64518948fe7037058f07ef987…
- Parchegithub.com/yincongcyincong/MuseBot/commit/139f6158b50283b983d76976f59…
- Referencia en github.comgithub.com/yincongcyincong/MuseBot/blob/v1.0.42/admin/conf/conf.go
- Referencia en github.comgithub.com/yincongcyincong/MuseBot/blob/v1.0.42/admin/controller/logi…
- Aviso de hackmd.iohackmd.io/@hieuPenguinnn/musebot-admin-default-session-key-auth-bypass
- Referencia en github.comgithub.com/yincongcyincong/MuseBot
- Aviso de vulncheck.comvulncheck.com/advisories/musebot-before-2.0.0-authentication-bypass-v…
Ver el texto original en inglés (CVE.org)
MuseBot before 2.0.0 Authentication Bypass via Hard-Coded Session Key
MuseBot before 2.0.0 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge admin sessions by using the hard-coded default session_key 'muse_bot_session_key'. Attackers can sign a MuseBot-session cookie carrying a user_id to gain full administrative access, reading password hashes, chat records, and bot configuration, and stopping bots.