CVE-2021-46080

عنوان الاستغلال: نظام إدارة خدمة المركبات - 'ثغرات متعددة' لتزوير الطلبات عبر المواقع (CSRF) تؤدي إلى برمجة نصية عبر المواقع مخزنة (XSS)

مؤلف الاستغلال: SANU P.L

CVE: CVE-2021-46080

CVSS: 4.8 MEDIUM

المراجع:

• https://www.plsanu.com/vehicle-service-management-system-multiple-cross-site-request-forgery-csrf-leads-to-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46080
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46080

الوصف:

توجد ثغرة تزوير الطلبات عبر المواقع (CSRF) في نظام إدارة خدمة المركبات 1.0. يؤدي هجوم CSRF ناجح إلى ثغرة برمجة نصية عبر المواقع مخزنة (XSS).

1. نظام إدارة خدمة المركبات - 'قائمة الميكانيكيين' (/admin/?page=mechanics)

الاستغلال:

1. قم بزيارة لوحة الإدارة http://localhost/vehicle_service/admin
2. أنشئ حسابين للمسؤول.
3. سجّل الدخول إلى حساب Admin-1 في المتصفح A (Chrome)
4. سجّل الدخول إلى حساب Admin-2 في المتصفح B (Firefox)
5. في حساب Admin-1 (Chrome) انتقل إلى قسم قائمة الميكانيكيين وانقر على زر إنشاء جديد.
6. احقن الحمولة أدناه في حقل إدخال الاسم الكامل.

الحمولة:

 "><script>alert(document.cookie)</script>

7. انقر على زر حفظ.
8. التقط الطلب في burpsuite وأنشئ ملف HTML الخاص بـ CSRF.
9. احفظ ملف HTML الخاص بـ CSRF، على سبيل المثال: CSRF.html
10. في المتصفح B (Firefox) تصفّح ملف CSRF.html.
11. انتقل إلى قسم قائمة الميكانيكيين في المتصفح B (Firefox).
12. تم تشغيل كود جافاسكريبت الخبيث.

2. نظام إدارة خدمة المركبات - 'طلبات الخدمة' (/admin/?page=service_requests)

الاستغلال:

1. قم بزيارة لوحة الإدارة http://localhost/vehicle_service/admin
2. أنشئ حسابين للمسؤول.
3. سجّل الدخول إلى حساب Admin-1 في المتصفح A (Chrome)
4. سجّل الدخول إلى حساب Admin-2 في المتصفح B (Firefox)
5. في حساب Admin-1 (Chrome) انتقل إلى قسم طلبات الخدمة وانقر على زر إنشاء جديد.
6. احقن الحمولة أدناه في حقل إدخال جهة اتصال المالك.

الحمولة:

 "><script>alert(document.cookie)</script>

7. انقر على زر حفظ الطلب.
8. التقط الطلب في burpsuite وأنشئ ملف HTML الخاص بـ CSRF.
9. احفظ ملف HTML الخاص بـ CSRF، على سبيل المثال: CSRF.html
10. في المتصفح B (Firefox) تصفّح ملف CSRF.html.
11. انتقل إلى قسم طلبات الخدمة في المتصفح B (Firefox).
12. اختر طلبات الخدمة المنشأة حديثًا وانقر على إجراء ضمن عرض.
13. تم تشغيل كود جافاسكريبت الخبيث.

3. نظام إدارة خدمة المركبات - 'قائمة الفئات' (/admin/?page=maintenance/category)

الاستغلال:

1. قم بزيارة لوحة الإدارة http://localhost/vehicle_service/admin
2. أنشئ حسابين للمسؤول.
3. سجّل الدخول إلى حساب Admin-1 في المتصفح A (Chrome)
4. سجّل الدخول إلى حساب Admin-2 في المتصفح B (Firefox)
5. في حساب Admin-1 (Chrome) انتقل إلى قسم قائمة الفئات وانقر على زر إنشاء جديد.
6. احقن الحمولة أدناه في حقل إدخال اسم الفئة.

الحمولة:

 "><script>alert(document.cookie)</script>

7. انقر على زر حفظ.
8. التقط الطلب في burpsuite وأنشئ ملف HTML الخاص بـ CSRF.
9. احفظ ملف HTML الخاص بـ CSRF، على سبيل المثال: CSRF.html
10. في المتصفح B (Firefox) تصفّح ملف CSRF.html.
11. انتقل إلى قسم قائمة الفئات في المتصفح B (Firefox).
12. تم تشغيل كود جافاسكريبت الخبيث.

4. نظام إدارة خدمة المركبات - 'قائمة الخدمات' (/admin/?page=maintenance/services)

الاستغلال:

1. قم بزيارة لوحة الإدارة http://localhost/vehicle_service/admin
2. أنشئ حسابين للمسؤول.
3. سجّل الدخول إلى حساب Admin-1 في المتصفح A (Chrome)
4. سجّل الدخول إلى حساب Admin-2 في المتصفح B (Firefox)
5. في حساب Admin-1 (Chrome) انتقل إلى قسم قائمة الخدمات وانقر على زر إنشاء جديد.
6. احقن الحمولة أدناه في حقل إدخال اسم الخدمة.

الحمولة:

 "><script>alert(document.cookie)</script>

7. انقر على زر حفظ.
8. التقط الطلب في burpsuite وأنشئ ملف HTML الخاص بـ CSRF.
9. احفظ ملف HTML الخاص بـ CSRF، على سبيل المثال: CSRF.html
10. في المتصفح B (Firefox) تصفّح ملف CSRF.html.
11. انتقل إلى قسم قائمة الخدمات في المتصفح B (Firefox).
12. تم تشغيل كود جافاسكريبت الخبيث.

5. نظام إدارة خدمة المركبات - 'قائمة المستخدمين' (/admin/?page=user/list)

الاستغلال:

1. قم بزيارة لوحة الإدارة http://localhost/vehicle_service/admin
2. أنشئ حسابين للمسؤول.
3. سجّل الدخول إلى حساب Admin-1 في المتصفح A (Chrome)
4. سجّل الدخول إلى حساب Admin-2 في المتصفح B (Firefox)
5. في حساب Admin-1 (Chrome) انتقل إلى قسم قائمة المستخدمين وانقر على زر إنشاء جديد.
6. احقن الحمولة أدناه في حقل إدخال الاسم الأول.

الحمولة:

 "><script>alert(document.cookie)</script>

7. انقر على زر حفظ.
8. التقط الطلب في burpsuite وأنشئ ملف HTML الخاص بـ CSRF.
9. احفظ ملف HTML الخاص بـ CSRF، على سبيل المثال: CSRF.html
10. في المتصفح B (Firefox) تصفّح ملف CSRF.html.
11. انتقل إلى قسم قائمة المستخدمين في المتصفح B (Firefox).
12. تم تشغيل كود جافاسكريبت الخبيث.

6. نظام إدارة خدمة المركبات - 'الإعدادات' (/admin/?page=system_info)

الاستغلال:

1. قم بزيارة لوحة الإدارة http://localhost/vehicle_service/admin
2. أنشئ حسابين للمسؤول.
3. سجّل الدخول إلى حساب Admin-1 في المتصفح A (Chrome)
4. سجّل الدخول إلى حساب Admin-2 في المتصفح B (Firefox)
5. في حساب Admin-1 (Chrome) انتقل إلى قسم الإعدادات.
6. احقن الحمولة أدناه في حقل إدخال اسم النظام.

الحمولة:

 "><script>alert(document.cookie)</script>

7. انقر على زر تحديث.
8. التقط الطلب في burpsuite وأنشئ ملف HTML الخاص بـ CSRF.
9. احفظ ملف HTML الخاص بـ CSRF، على سبيل المثال: CSRF.html
10. في المتصفح B (Firefox) تصفّح ملف CSRF.html.
11. انتقل إلى قسم الإعدادات في المتصفح B (Firefox).
12. تم تشغيل كود جافاسكريبت الخبيث.

التأثير:

توجد ثغرة تزوير الطلبات عبر المواقع (CSRF) في نقاط نهاية متعددة، مما يؤدي إلى ثغرة برمجة نصية عبر المواقع مخزنة (XSS).

التخفيف:

يُنصح بتنفيذ ما يلي:

• غير قابل للتنبؤ وبإنتروبيا عالية، كما هو الحال بالنسبة لرموز الجلسة بشكل عام.
• مرتبط بجلسة المستخدم.
• يتم التحقق منه بدقة في كل حالة قبل تنفيذ الإجراء ذي الصلة.