Beschreibung

In Issabel PBX Version 4.0.0-6 besteht eine Stored-Cross-Site-Scripting-Schwachstelle (XSS). Die Anwendung bereinigt oder kodiert vom Benutzer bereitgestellte Eingaben nicht ordnungsgemäß, bevor sie in der Datenbank gespeichert und später im Browser gerendert werden. Dadurch kann ein authentifizierter Angreifer beliebigen JavaScript- oder HTML-Code über die Eingabefelder Group und Description unter System → Users → Groups einschleusen.

Sobald die schädliche Nutzlast gespeichert ist, wird sie dauerhaft auf dem Server abgelegt. Jedes Mal, wenn ein Benutzer (einschließlich Administratoren) die betroffene Seite besucht, wird das injizierte Skript automatisch in seiner Browsersitzung ausgeführt – ohne dass der Angreifer weitere Aktionen durchführen muss. Genau das unterscheidet ein Stored (persistentes) XSS von einem Reflected XSS; die Auswirkungen sind größer und gefährlicher, da die Nutzlast alle Besucher der Seite betrifft.

Details zur Schwachstelle

• Komponente: Modul System → Users → Groups der Issabel-PBX-Weboberfläche
• Verwundbare Parameter: Group (Namensfeld) und Description (Textfeld)
• Angriffsvektor: Netzwerk
• Angriffskomplexität: Niedrig
• Erforderliche Privilegien: Niedrig (authentifizierter Benutzer)
• Benutzerinteraktion: Erforderlich (das Opfer muss die manipulierte Seite besuchen)
• Scope: Geändert (das Skript wird im Browserkontext des Opfers ausgeführt)

Auswirkungen

Eine erfolgreiche Ausnutzung dieser Schwachstelle kann einem Angreifer Folgendes ermöglichen:

• Session-Hijacking: Authentifizierte Sitzungscookies stehlen, was die Übernahme von Konten ohne Kenntnis des Benutzerpassworts ermöglicht.
• Credential Harvesting: Gefälschte Anmeldeformulare einschleusen oder Benutzer auf Phishing-Seiten umleiten, um Zugangsdaten zu erfassen.
• Dauerhaftes Defacement: Das visuelle Erscheinungsbild der Anwendung für alle Benutzer dauerhaft verändern.
• Bösartige Weiterleitung: Opfer stillschweigend auf vom Angreifer kontrollierte Domains umleiten, die Malware oder Phishing-Inhalte hosten.
• Keylogging: Tastatureingaben erfassen, die Opfer auf der betroffenen Seite vornehmen.
• Unbefugte Aktionen: Aktionen im Namen des Opfers ausführen (z. B. Hintertür-Administratorkonten erstellen, Systemkonfiguration ändern), indem die Sitzungsrechte des Opfers genutzt werden.

Da die Nutzlast auf dem Server gespeichert ist, ist jeder Benutzer betroffen, der die kompromittierte Seite besucht – der Schaden ist im Vergleich zu einem Reflected-XSS-Angriff deutlich größer.

Proof of Concept (PoC)

Voraussetzungen

• Zugriff auf eine Issabel-PBX-4.0.0-6-Instanz
• Ein Konto mit der Berechtigung zum Verwalten von Benutzern/Gruppen (z. B. Administrator-Anmeldedaten)

Schritte zur Reproduktion

Schritt 1: Melden Sie sich mit Administrator-Anmeldedaten an der Issabel-PBX-Weboberfläche an.

Schritt 2: Navigieren Sie zu System → Users → Groups. Geben Sie in die Eingabefelder Group und/oder Description die folgende XSS-Nutzlast ein:

Die Felder sollten ähnlich wie im folgenden Screenshot aussehen:

Schritt 3: Klicken Sie auf Speichern. Die Nutzlast wird nun dauerhaft in der Datenbank der Anwendung gespeichert.

Schritt 4: Navigieren Sie zurück zur Seite System → Users → Groups (oder lassen Sie einen anderen Benutzer sie besuchen). Das injizierte Skript wird automatisch im Browser ausgeführt, wie unten gezeigt:

Behebung

Um diese Schwachstelle zu entschärfen, sollte das Issabel-PBX-Entwicklungsteam die folgenden Korrekturen anwenden:

1. Eingabevalidierung: Validieren Sie alle vom Benutzer bereitgestellten Eingaben streng serverseitig. Lehnen Sie Werte, die HTML-Sonderzeichen (<, >, ", ', &) enthalten, in Feldern, die keine HTML-Formatierung erfordern, ab oder bereinigen Sie diese.

2. Ausgabekodierung: Wenden Sie beim Rendern gespeicherter Daten im Browser eine kontextabhängige Ausgabekodierung (z. B. HTML-Entity-Kodierung) an, um injiziertes Markup zu neutralisieren. Da Issabel PBX auf PHP basiert, verwenden Sie die in PHP integrierten Funktionen htmlspecialchars() oder htmlentities() anstelle einer eigenen Filterung.

3. Content Security Policy (CSP): Implementieren Sie einen strengen Content-Security-Policy-HTTP-Header, um die Quellen einzuschränken, von denen Skripte ausgeführt werden können. Eine ordnungsgemäß konfigurierte CSP kann verhindern, dass injizierte Skripte ausgeführt werden, selbst wenn die Eingabebereinigung umgangen wird.

4. Regelmäßige Sicherheitsaudits: Führen Sie regelmäßige Code-Reviews und Penetrationstests durch, um Injection-Schwachstellen in der gesamten Anwendung zu identifizieren und zu beheben.

Referenzen

• NVD — CVE-2023-37191
• OWASP — Cross Site Scripting (XSS)
• OWASP — XSS Prevention Cheat Sheet
• Issabel Foundation — issabelPBX auf GitHub

Haftungsausschluss

Diese Informationen werden ausschließlich zu Bildungs- und Forschungszwecken bereitgestellt. Der Autor ist nicht für eine missbräuchliche Verwendung dieser Informationen verantwortlich. Holen Sie vor dem Testen von Schwachstellen an einem System, das Ihnen nicht gehört, immer eine ordnungsgemäße schriftliche Genehmigung ein.