CVE-2021-41100

Wire-server, açık kaynaklı wire güvenli mesajlaşma uygulamasının arka plan sunucusudur. Etkilenen sürümlerde, yalnızca `Authorization` başlığındaki kısa ömürlü oturum belirteci ile bir kullanıcının e-posta adresini değiştirmek mümkündür. Kısa ömürlü belirteç, istemcinin arka plana yaptığı daha az kritik istekler için yalnızca bir kimlik doğrulama aracı olarak tasarlandığından, kısa ömürlü bir belirteçle e-posta adresini değiştirebilme yeteneği bir yetki yükseltme saldırısı teşkil eder. Saldırgan, e-posta adresini kontrol ettiği bir adresle değiştirdikten sonra şifreyi de değiştirebildiği için, e-posta adresinin değiştirilmesi saldırgan tarafından hesap ele geçirilmesiyle sonuçlanabilir. Kısa ömürlü belirteçler, Wire istemcileri tarafından uzun ömürlü belirteçler kullanılarak arka plandan talep edilebilir ve ardından uzun ömürlü belirteçler örneğin cihazın anahtar zincirinde güvenli bir şekilde saklanabilir. Kısa ömürlü belirteçler daha sonra mesaj gönderme ve alma gibi sık gerçekleştirilen işlemler için istemcinin arka plana karşı kimlik doğrulaması yapmasında kullanılabilir. Kısa ömürlü belirteçler doğası gereği bir saldırganın erişimine açık olmamalıdır; ancak bunlar daha sık kullanılırlar ve bir HTTP başlığı şeklinde oldukları için, çerezlerde saklanan ve iletilen uzun ömürlü belirteçlere kıyasla bir saldırgana ifşa olma riski daha yüksektir. Eğer şirket içi (on-prem) bir örnek çalıştırıyorsanız ve tüm kullanıcıları SCIM ile sağlıyorsanız, bu sorundan etkilenmezsiniz (SCIM kullanıcıları için e-posta değişikliği engellenmiştir). SAML tek oturum açma (single-sign-on), bu sorundan etkilenmemektedir ve bu güncellemeden önce ve sonra aynı şekilde davranmaktadır. Bunun nedeni, SAML NameID olarak kullanılan e-posta adresinin veritabanında, kullanıcıyla wire dışında iletişim kurmak için kullanılan adresten farklı bir konumda saklanmasıdır. 2021-08-16 ve sonraki sürümler, hem uzun ömürlü istemci çerezi hem de `Authorization` başlığı gerektiren yeni bir uç nokta sağlar. Eski uç nokta kaldırılmıştır. Şirket içi bir örnek çalıştırıyorsanız ve kullanıcıların en az bir kısmı SAML SSO aracılığıyla davet edilmiş veya sağlanmışsa ve güncelleyemiyorsanız, nginx üzerinde (veya kurmuş olabileceğiniz diğer proxy'ler veya güvenlik duvarlarında) `/self/email` yolunu engelleyebilirsiniz. Fiile göre ayrım yapmanıza gerek yoktur: `/self/email` yalnızca `PUT` ve `DELETE` isteklerini kabul eder ve `DELETE` neredeyse hiç kullanılmaz.