Alla fine signori, la falla non esiste, semplicemente il fritzbox gestisce in una maniera "particolare" le sessioni.
Le sessioni, invece di essere salvate nei cookies, vengono salvate in una variabile in mezzo al codice javascript.
Ogni volta che si fa una richiesta quel parametro viene passato e funge da autenticatore, sostituendo il cookie di sessione.
All'interno del sistema di fritz il "token" viene disabilitato solo se viene eseguito un logout forzato o se l'ultima operazione risale ad oltre 20 minuti fa, dunque, durante i test che ho fatto, il token non scadeva e non aveva motivo di farlo.
Visto che il token di autenticazione è all'interno della richiesta, quando veniva eseguita una richiesta falsa veniva passato anche quel parametro, rendendo così tutto regolare.
Dunque, durante i test, ero effettivamente autenticato, ma non sapevo di esserlo.
http://10.8.0.1/internet/inetstat_monitor.lua
sid: TOKENDISESSIONE
myXhr: 1
action: get_graphic
useajax: 1
xhr: 1
t1606914120128: nocache
Questa è una richiesta per prendere i grafici di utilizzo del fritz, per mia cattiva abitudine premo f5 per aggiornare i dati (perdendo la sessione), invece di usare il bottone apposito.
Dunque, ogni volta che cambiavo sezione il parametro sid cambiava, non essendoci una documentazione ufficiale ero convinto fosse qualcosa in stile "section_id", quindi per indicare la sezione che si stava utilizzando.
Quindi falso allarme, il fritz funziona normalmente e il login da remoto non è fallato, semplicemente ero autenticato e non lo sapevo.
Avevo anche provato a cambiare il sid con un altro sid facendo la stessa richiesta, appunto per verificare che fosse un qualcosa indicante l'id della sezione e non un account, ma per qualche motivo quella richesta non andò a buon fine, spingendo ancora oltre la mia sicurezza del section_id.
Ancora non mi spiego come sia stato possibile bypassare la 2FA, ma non riesco a riprodurre lo stesso comportamento.
Avevo già il sospetto che ci fosse qualcosa di sbagliato, la mia idea era talmente stupida che non sarei mai stato il primo ad accorgersene, ci ho sperato fin troppo, ed in effetti avevo ragione a dubitare sul metodo.
Sentitevi liberi di blastarmi nei commenti.
