CVE-2026-78553 in RansomLook
Riassunto
di VulDB • 24/08/2026
RansomLook ha creato la chiave di firma delle sessioni Flask senza restringere esplicitamente i permessi del file. Il file `secret_key` è stato creato utilizzando le autorizzazioni predefinite del processo e il valore umask, risultando in permessi come 0644 con un comune umask 022. Di conseguenza, altri utenti locali in grado di accedere alla home directory di RansomLook potevano leggere il segreto crittografico dell'applicazione.
La chiave esposta è critica per la sicurezza poiché viene utilizzata per firmare i cookie delle sessioni Flask ed è anche coinvolta nella derivazione della chiave legacy API-Key. Un attaccante che ottiene la chiave può generare cookie di sessione validi e impersonare un utente autenticato, incluso un amministratore. Nelle configurazioni LDAP, lo sfruttamento potrebbe essere particolarmente semplice poiché il caricatore dell'utente della sessione non richiede che il nome utente fornito corrisponda a un utente locale esistente.
Lo sfruttamento riuscito richiede l'accesso locale sufficiente per leggere il file protetto in modo improprio, ma può comportare la compromissione completa dei controlli di autenticazione e autorizzazione di RansomLook.
La patch crea nuovi file della chiave segreta atomicamente con permessi 0600 e restringe anche i permessi sui file delle chiavi esistenti durante l'avvio dell'applicazione.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.