CVE-2024-30956

siehe https://www.lauyan.com/en/toweb-updates.html#iyFEw37D

(DOM-basiertes XSS) HTML-Injection-Schwachstelle in TOWeb Version 5 <= 12.05 ermöglicht es einem Angreifer, HTML/JS-Code über die _message.html-Komponente einzuschleusen.

Erklärung

• Die Datei _message.html wird verwendet, um eine Fehlerseite anzuzeigen, indem der Code rechts vom ? dekodiert und ausgeführt wird.
• Der Code ist HTML-Code, base64-kodiert und dann umgekehrt (für eine englische Website wäre die Fehlerseite 127.0.0.1:8000/_message.html?==gP2lGZvwjP2lGZvwjPyJGP+InY84DcvwDZuV3bGBCdv5EIldWYQ5Dc84jMo9CPg4jMoxjPiEmchBXL3RnI9M3chx2YgYXakxjPxg2L8IXdlJncF5TMoxjPiIXZ05WZjpjbnlGbh1Cd4VGdi0TZslHdzBidpRGP)
• Da es sich um HTML-Code handelt, können wir JavaScript-Code darin einfügen, der ausgeführt wird, wenn der Benutzer die URL aufruft

Auswirkungen

• Beispielsweise kann XSS mit Social Engineering eingesetzt werden, um Benutzeranmeldeinformationen zu stehlen oder einen Benutzer dazu zu bringen, Malware herunterzuladen, indem das Vertrauen des Benutzers in ein Unternehmen gegen ihn verwendet wird.
• siehe https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/XSS%20Injection#exploit-code-or-poc

Gegenmaßnahmen

• Diese Schwachstelle ist in Version 12.06 behoben

Exploit

• python3 poc.py; python3 -m http.server -d src -> z. B. http://127.0.0.1:8000/_message.html?==gC+QHcpJ3Yz9CPpcyUThFIkV2chJWLN9ERngCdyVGbh5DdwlmcjNHP
• Rufen Sie die URL auf, der JS-Code wird ausgeführt
• Hinweis: src enthält eine Kopie des relevanten HTML/JS-Codes, da TOWeb Closed Source ist und das Herunterladen einer älteren Version ohne Bezahlung nicht erlaubt