Descripción
2FAuth es una aplicación web para gestionar cuentas de autenticación de dos factores (2FA) y generar sus códigos de seguridad. En versiones anteriores a la 8.0.0, cuando AUTHENTICATION_GUARD=reverse-proxy-guard está habilitado, ReverseProxyGuard::user() lee el encabezado de identidad predeterminado REMOTE_USER, o un encabezado de identidad personalizado seleccionado mediante la opción de configuración AUTH_PROXY_HEADER_FOR_USER, sin confirmar que la solicitud provenga de un proxy de confianza configurado. Un cliente remoto que pueda acceder directamente a la aplicación puede falsificar el encabezado de identidad seleccionado y autenticarse como un usuario existente, incluido un administrador, obteniendo acceso a los secretos 2FA almacenados y a las funciones de gestión de cuentas o de la aplicación. El problema está corregido en la versión 8.0.0.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- 2FAuth Afectadas: < 8.0.0
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/Bubka/2FAuth/security/advisories/GHSA-mh8r-74x2-r457
- Referencia en github.comgithub.com/Bubka/2FAuth/commit/43873cbfba445926c7008b4291eeee67752af9…
- Referencia en github.comgithub.com/Bubka/2FAuth/releases/tag/v8.0.0
Ver el texto original en inglés (CVE.org)
2FAuth: Reverse Proxy Guard Trusts Client-Supplied Headers Without Proxy Verification
2FAuth is a web app to manage Two-Factor Authentication (2FA) accounts and generate their security codes. Prior to 8.0.0, when AUTHENTICATION_GUARD=reverse-proxy-guard is enabled, ReverseProxyGuard::user() reads the default REMOTE_USER identity header, or a custom identity header selected by the AUTH_PROXY_HEADER_FOR_USER configuration setting, without confirming that the request originated from a configured trusted proxy. A remote client that can reach the application directly can forge the selected identity header and authenticate as an existing user, including an administrator, gaining access to stored 2FA secrets and account or application management functions. This issue is fixed in version 8.0.0.