NVD-Beschreibung:

TripSpark VEO Transportation-2.2.x-XP_BB-20201123-184084 NovusEDU-2.2.x-XP_BB-20201123-184084 erlaubt unsichere Dateneingaben in POST-Body-Parametern von Endbenutzern, ohne sie mit serverseitiger Logik zu bereinigen. Es war möglich, benutzerdefinierte SQL-Befehle in die Suchabfragen der „Student Busing Information"-Seite einzuschleusen.

Technische Details

Die offengelegte Angriffsfläche

Schulbezirke setzen die Seite „Student Busing Information" auf ihrer öffentlichen Website ein, damit Eltern die Buszuteilung eines Schülers nachschlagen können. Sie fragt nach einer Schüler-N-Nummer und einem Geburtsdatum und ist absichtlich nicht authentifiziert.

Das N-Number-Feld wird als editOEN übermittelt. Das Geburtsdatum wird als cboxMonth, cboxDay und cboxYear übermittelt. editOEN ist der injizierbare Parameter.

Blinde Injektion

Im Gegensatz zu vielen ASP.NET-Anwendungen dieser Bauart gibt diese Seite keine Datenbankfehler aus. Es gibt keinen sichtbaren Unterschied zwischen einer wohlgeformten und einer fehlerhaften Abfrage, daher führen In-Band-Techniken in eine Sackgasse.

Gestapelte Abfragen (Stacked Queries) werden jedoch ausgeführt, und das ist alles, was nötig ist.

Out-of-Band-Ausnutzung über xp_dirtree

master.dbo.xp_dirtree zählt ein Verzeichnis auf. Bei einem UNC-Pfad authentifiziert sich SQL Server vor dem Lesen über SMB am Zielhost. Wenn man es auf einen Listener ausrichtet, wird aus einer stillen Injektion eine sichtbare:

Die Anfrage ist ein gewöhnlicher ASP.NET-WebForms-POST mit etwa 4.700 Bytes, der größtenteils aus __VIEWSTATE besteht. Die vollständige Anfrage finden Sie in poc/exploited-request.http, die Payloads in poc/payloads.sql.

Erbeutete Authentifizierung

Mit Impackts smbserver.py, das auf einem Host im öffentlichen Internet lauscht, authentifiziert sich der Datenbankserver im Netzwerk des Schulbezirks ausgehend:

Zwei Dinge sind ausdrücklich zu nennen. Erstens handelt es sich um ein nicht authentifiziertes, über das Internet erreichbares Formular, das auf eine Produktionsdatenbank zugreift. Zweitens durfte dieser Datenbankserver ausgehende SMB-Verbindungen zu beliebigen Internet-Hosts aufbauen, was die blinde Injektion erst beobachtbar machte.

Auswirkungen

Über die Injektion hinaus war die erbeutete NTLMv2-Anmeldeinformation des SQL-Server-Dienstkontos der erste Ausgangspunkt im ursprünglichen Auftrag. Von dort aus eskalierte die Untersuchung bis zur vollständigen Kompromittierung der Active-Directory-Domäne und -Gesamtstruktur des Kunden.

Die gefährdeten Daten sind Schülerbeförderungsdatensätze: Namen, Wohnadressen, zugewiesener Bus, zugewiesene Haltestelle, Abholzeiten und Sonderschul-Routen. Das ist ein Plan darüber, wo sich identifizierbare Kinder zu bekannten Zeiten physisch aufhalten werden.

Reproduktion

Gegen eine Laborinstanz, die Ihnen gehört oder für die Sie eine Testberechtigung haben:

1. Laden Sie die Seite „Student Busing Information".
2. Starten Sie einen Listener auf einem Host, den das Ziel erreichen kann:
   root@kitploit:~

   sudo smbserver.py c . -smb2support
   

3. Übermitteln Sie das Formular mit dem xp_dirtree-Payload aus poc/payloads.sql im N-Number-Feld und setzen Sie dabei Ihre eigene IP ein. Erfassen und wiederholen Sie den POST, anstatt ihn im Browser einzutippen, falls das Feld ein clientseitiges Längenlimit hat, da dieses Limit serverseitig nicht existiert.
4. Ein verwundbarer Build erzeugt eine eingehende SMB-Authentifizierung vom SQL-Server-Dienstkonto. An der HTTP-Antwort ändert sich nichts.
5. Eine zeitbasierte Bestätigung funktioniert ebenfalls, wenn Sie kein eingehendes SMB empfangen können:
   root@kitploit:~

   123'; waitfor delay '0:0:10';--
   

Repository-Inhalt

Client-IDs in den Erfassungen wurden geschwärzt. Die Listener-Adressen stammen aus dem ursprünglichen Auftrag und sind längst tot. Setzen Sie bei der Reproduktion Ihre eigenen ein.

Behebung

1. Parametrisierte Abfragen. Binden Sie editOEN als Parameter, und das Payload wird unabhängig von seinem Inhalt zu einer inerten Zeichenkette.
2. Serverseitige Validierung. Eine Schüler-Nummer ist kurz und numerisch. Erzwingen Sie das serverseitig und nicht im Formular.
3. Minimale Rechte für das Datenbankkonto. Das Konto hinter einer öffentlichen Nachschlagseite muss Buszuteilungen lesen können und sonst nichts. Entziehen Sie den Zugriff auf xp_dirtree und die anderen erweiterten gespeicherten Prozeduren.
4. Egress-Filterung. Ein Datenbankserver eines Schulbezirks hat keinen Grund, SMB-Verbindungen ins Internet aufzubauen. Das Blockieren von ausgehendem Port 445 entfernt den Out-of-Band-Kanal.
5. Trennen Sie das öffentliche Formular vom System of Record. Die Seite, die Eltern nutzen, sollte eine eingeschränkte Replik abfragen, nicht die Produktionsdatenbank, die auch Sonderschul-Routen enthält.

Zeitleiste

Berichte

• Persönlicher Bericht: https://sedriclouissaint.com/blog/tripspark-veo-sql-injection-cve-2021-3262/
• Show Up Show Out Security: https://susos.co/blog/sqlspark-sql-injection-in-tripspark-veo-transport-cve-2021-3262

Haftungsausschluss

Nach der Offenlegung veröffentlicht, für defensive und Bildungszwecke. Führen Sie diese Payloads nicht gegen Systeme aus, die Ihnen nicht gehören oder für die Sie keine schriftliche Testgenehmigung haben. Wenn Sie eine Schulbezirks-Installation verwalten, ist die sinnvolle Maßnahme hier, Ihren Anbieter schriftlich zu fragen, ob die Abfragen hinter Ihren öffentlichen Formularen parametrisiert sind.