CVE-2021-46075

عنوان الاستغلال: نظام إدارة خدمات المركبات - 'متعدد' تصعيد الامتيازات يؤدي إلى عمليات CRUD

مؤلف الاستغلال: SANU P.L

CVE: CVE-2021-46075

CVSS: 7.2 HIGH

المراجع:

• https://www.plsanu.com/vehicle-service-management-system-multiple-privilege-escalation-leads-to-crud-operations
• https://nvd.nist.gov/vuln/detail/CVE-2021-46075
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46075

الوصف:

توجد ثغرة تصعيد امتيازات في نظام إدارة خدمات المركبات من Sourcecodester الإصدار 1.0. يمكن لمستخدمي حسابات الموظفين الوصول إلى موارد المدير وتنفيذ عمليات CRUD.

1. نظام إدارة خدمات المركبات - 'قائمة المستخدمين' (/admin/?page=user/list) (/admin/?page=user/manage_user)

الاستغلال:

1. قم بزيارة لوحة الإدارة http://localhost/vehicle_service/admin
2. سجّل الدخول بحساب المدير في المتصفح A (Chrome)
3. سجّل الدخول بحساب الموظف في المتصفح B (Firefox)
4. في حساب المدير (Chrome) انتقل إلى قسم قائمة المستخدمين وانقر على زر إنشاء جديد.
5. انسخ رابط إنشاء مستخدم جديد http://localhost/vehicle_service/admin/?page=user/manage_user
6. في حساب الموظف (Firefox) لا يوجد قسم قائمة المستخدمين لأن حساب الموظف لا يملك صلاحيات إنشاء مستخدم.
7. الصق الرابط المنسوخ في المتصفح B (Firefox)
8. الآن يمكننا الوصول إلى صفحة إنشاء المستخدم.
9. أدخل التفاصيل المطلوبة وانقر على زر حفظ.
10. في حساب المدير (Chrome) انتقل إلى قسم قائمة المستخدمين http://localhost/vehicle_service/admin/?page=user/list
11. تم إنشاء المستخدم الجديد بنجاح.
12. يمكن لحساب الموظف الوصول إلى صفحة قائمة المستخدمين وصفحة إنشاء المستخدم.
13. يمكن لحساب الموظف إنشاء وقراءة وتحديث وحذف المستخدمين.

2. نظام إدارة خدمات المركبات - 'قائمة الفئات' (/admin/?page=maintenance/category) (/admin/?page=maintenance/manage_category)

الاستغلال:

1. قم بزيارة لوحة الإدارة http://localhost/vehicle_service/admin
2. سجّل الدخول بحساب المدير في المتصفح A (Chrome)
3. سجّل الدخول بحساب الموظف في المتصفح B (Firefox)
4. في حساب المدير (Chrome) انتقل إلى قسم قائمة الفئات وانقر على زر إنشاء جديد.
5. انسخ رابط إنشاء فئة جديدة http://localhost/vehicle_service/admin/?page=maintenance/manage_category
6. في حساب الموظف (Firefox) لا يوجد قسم قائمة الفئات لأن حساب الموظف لا يملك صلاحيات إنشاء فئة.
7. الصق الرابط المنسوخ في المتصفح B (Firefox)
8. الآن يمكننا الوصول إلى صفحة إنشاء الفئة.
9. أدخل التفاصيل المطلوبة وانقر على زر حفظ.
10. في حساب المدير (Chrome) انتقل إلى قسم قائمة الفئات http://localhost/vehicle_service/admin/?page=maintenance/category
11. تم إنشاء الفئة الجديدة بنجاح.
12. يمكن لحساب الموظف الوصول إلى صفحة قائمة الفئات وصفحة إنشاء الفئة.
13. يمكن لحساب الموظف إنشاء وقراءة وتحديث وحذف الفئة.

3. نظام إدارة خدمات المركبات - 'قائمة الخدمات' (/admin/?page=maintenance/services) (/admin/?page=maintenance/manage_service)

الاستغلال:

1. قم بزيارة لوحة الإدارة http://localhost/vehicle_service/admin
2. سجّل الدخول بحساب المدير في المتصفح A (Chrome)
3. سجّل الدخول بحساب الموظف في المتصفح B (Firefox)
4. في حساب المدير (Chrome) انتقل إلى قسم قائمة الخدمات وانقر على زر إنشاء جديد.
5. انسخ رابط إنشاء خدمة جديدة http://localhost/vehicle_service/admin/?page=maintenance/manage_service
6. في حساب الموظف (Firefox) لا يوجد قسم قائمة الخدمات لأن حساب الموظف لا يملك صلاحيات إنشاء خدمة.
7. الصق الرابط المنسوخ في المتصفح B (Firefox)
8. الآن يمكننا الوصول إلى صفحة إنشاء الخدمة.
9. أدخل التفاصيل المطلوبة وانقر على زر حفظ.
10. في حساب المدير (Chrome) انتقل إلى قسم قائمة الخدمات http://localhost/vehicle_service/admin/?page=maintenance/services
11. تم إنشاء الخدمة الجديدة بنجاح.
12. يمكن لحساب الموظف الوصول إلى صفحة قائمة الخدمات وصفحة إنشاء الخدمة.
13. يمكن لحساب الموظف إنشاء وقراءة وتحديث وحذف الخدمة.

4. نظام إدارة خدمات المركبات - 'الإعدادات' (/admin/?page=system_info)

الاستغلال:

1. قم بزيارة لوحة الإدارة http://localhost/vehicle_service/admin
2. سجّل الدخول بحساب المدير في المتصفح A (Chrome)
3. سجّل الدخول بحساب الموظف في المتصفح B (Firefox)
4. في حساب المدير (Chrome) انتقل إلى قسم الإعدادات.
5. انسخ رابط قسم الإعدادات http://localhost/vehicle_service/admin/?page=system_info
6. في حساب الموظف (Firefox) لا يوجد قسم الإعدادات لأن حساب الموظف لا يملك صلاحيات الوصول إلى الإعدادات.
7. الصق الرابط المنسوخ في المتصفح B (Firefox)
8. الآن يمكننا الوصول إلى صفحة الإعدادات.
9. أدخل التفاصيل المطلوبة وانقر على زر حفظ.
10. في حساب المدير (Chrome) انتقل إلى قسم الإعدادات http://localhost/vehicle_service/admin/?page=system_info
11. تم تحديث التفاصيل بنجاح.
12. يمكن لحساب الموظف الوصول إلى صفحة الإعدادات.
13. يمكن لحساب الموظف تحديث الإعدادات.

التأثير:

يمكن للمهاجم عن بُعد الحصول على وصول مرفوع إلى الموارد التي يجب أن تكون غير متاحة عادةً. في حساب الموظف يمكن للمستخدمين الوصول إلى موارد المدير وتنفيذ عمليات CRUD.

التخفيف:

يُوصى بتنفيذ ما يلي:

• إدارة سليمة لحسابات الامتيازات
• مراقبة وإدارة جميع الجلسات المميزة
• سياسات كلمات مرور قوية وتطبيقها
• تعقيم مدخلات المستخدم وتأمين قواعد البيانات