On peut usurper l'identité de n'importe qui sur K-Psul #240

New issue

Closed

opened 2019-11-13 20:45:14 +01:00 by lstephan · 3 comments

lstephan commented

2019-11-13 20:45:14 +01:00

(Migrated from git.eleves.ens.fr)

choisir un superuser de gestioCOF / un membre du COF (appelons le toto) ;
modifier son mdp K-Fêt en un mdp connu (appelons le mdp-toto) ;
effectuer une requête GET vers https://cof.ens.fr/gestion/admin avec comme header HTTP KFETPASSWORD: mdp-toto ;
et voilà, on accède à l'interface admin en tant que toto.

C'est mal ! Il faudrait changer ça.
Pointeurs :

le changement d'utilisateur se fait dans kfet/auth/middleware.py ; il faudrait probablement le restreindre au sous-domaine K-Fêt, au moins...
autre idée : refondre le système d'auth pour ne pas faire un truc aussi risqué que changer l'utilisateur actif dans un middleware custom.

Avec l'authentication par mot de passe sur K-Psul, on peut usurper l'identité de n'importe qui sur tout gestioCOF si on est K-Fêt chef ou dev. Par exemple, on peut accéder à l'interface admin de la façon suivante : - choisir un superuser de gestioCOF / un membre du COF (appelons le toto) ; - modifier son mdp K-Fêt en un mdp connu (appelons le mdp-toto) ; - effectuer une requête GET vers `https://cof.ens.fr/gestion/admin` avec comme header HTTP `KFETPASSWORD: mdp-toto` ; - et voilà, on accède à l'interface admin en tant que toto. C'est mal ! Il faudrait changer ça. Pointeurs : - le changement d'utilisateur se fait dans `kfet/auth/middleware.py` ; il faudrait probablement le restreindre au sous-domaine K-Fêt, au moins... - autre idée : refondre le système d'auth pour ne pas faire un truc aussi risqué que changer l'utilisateur actif dans un middleware custom.

lstephan commented

2019-11-21 01:35:31 +01:00

(Migrated from git.eleves.ens.fr)

mentioned in merge request !380

mpepin commented

2019-11-22 14:37:14 +01:00

(Migrated from git.eleves.ens.fr)

closed via merge request !380

mpepin commented

2019-11-22 14:37:15 +01:00

(Migrated from git.eleves.ens.fr)

mentioned in commit 82746f1492

mentioned in commit 82746f14929662794b58bb63ca130b9d5a5dd684

No milestone

No project

No assignees

1 participant

Notifications

Due date

The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set.

Reference: DGNum/gestioCOF#240

No description provided.