Podatności OCO-Server

OCO-Server w wersjach przed 1.2.1 zawiera podatność, w której Html::commandButton() w lib/Html.class.php osadza URL akcji zawierający przechowywaną nazwę hosta komputera w łańcuchu JavaScript w obsłudze onclick, używając htmlspecialchars(ENT_QUOTES) tylko do escapowania HTML. Przeglądarki dekodują encje HTML przed interpretacją obsługi jako JavaScript, więc spreparowana nazwa hosta może uciec z łańcucha i wykonać skrypt w uwierzytelnionej sesji administratora po aktywowaniu przycisku polecenia. Zdalny atakujący posiadający współdzielony agent-registration-key może zapisać niekontrolowaną nazwę hosta przez oco.agent.hello, gdy włączona jest samorejestracja agenta (domyślnie wyłączona). Problem naprawiono w wersji 1.2.1.

OCO-Server przed wersją 1.2.3 pozwala użytkownikowi Self-Service Portal z uprawnieniami do tworzenia kontenerów zadań i odczytu komputera oraz pakietu na zakolejkowanie zadania odinstalowania bez uprawnień do wdrożenia. Pętla sprawdzania uprawnień nie usuwa odrzuconych identyfikatorów, a następnie przekazuje oryginalną listę do funkcji odinstalowania, która jest wykonywana w kontekście systemowym.

W OCO-Server przed wersją 1.2.3 endpoint rejestracji Apple MDM (frontend/api-mdm.php) weryfikuje podpisany plist żądania rejestracji z flagą PKCS7_NOVERIFY, co wyłącza walidację łańcucha certyfikatów i zaufania. W efekcie atakujący może podpisać sfałszowany plist dowolnym certyfikatem self-signed, podając numer seryjny znanego urządzenia, i nieuwierzytelnionym żądaniem uzyskać tożsamość MDM ofiary (certyfikat i klucz prywatny) oraz nadpisać rekord urządzenia w bazie.