CVE-2023-37597 — issabel-pbx 4.0.0-6: Cross-Site-Request-Forgery (CSRF) — Benutzergruppe löschen

Haftungsausschluss: Dieses Repository dient ausschließlich zu Bildungs- und autorisierten Sicherheitsforschungszwecken. Verwenden Sie diesen Exploit nicht gegen Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche schriftliche Erlaubnis zum Testen haben.

Inhaltsverzeichnis

Übersicht
Schwachstellendetails
Betroffenes Produkt
Technische Analyse
Angriffsszenario
Proof of Concept (PoC)
- Schritte zur Reproduktion
- PoC-Exploit-Code
Auswirkungen
Minderung & Abhilfe
Offenlegungszeitplan
Referenzen
Autor

Übersicht

issabel-pbx ist eine weit verbreitete Open-Source-Plattform für Unified Communications (PBX), die VoIP-Dienste, Telefonieverwaltung und webbasierte Administration bereitstellt. Version 4.0.0-6 von issabel-pbx enthält eine Cross-Site-Request-Forgery (CSRF)-Schwachstelle in der Benutzergruppenverwaltung.

Ein nicht authentifizierter entfernter Angreifer kann eine schädliche HTML-Seite erstellen, die, wenn sie von einem authentifizierten Administrator besucht wird, stillschweigend eine gefälschte HTTP-POST-Anfrage zum Löschen einer beliebigen Benutzergruppe sendet. Da die Anwendung die Herkunft von zustandsändernden Anfragen nicht mit CSRF-Tokens oder SameSite-Cookie-Richtlinien validiert, sendet der Browser automatisch das Sitzungscookie des Administrators mit, wodurch die Löschung ohne Wissen oder Zustimmung des Opfers erfolgreich ist.

Schwachstellendetails

Feld	Wert
CVE-ID	CVE-2023-37597
Schwachstelle	Cross-Site-Request-Forgery (CSRF)
CWE	CWE-352 — Cross-Site-Request-Forgery (CSRF)
Schweregrad	Mittel
CVSS-Vektor	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H
Betroffene Version	issabel-pbx 4.0.0-6
Offengelegt	10. Juli 2023
Forscher	Sahil Ojha

Betroffenes Produkt

Feld	Wert
Produktname	issabel-pbx
Version	4.0.0-6
Anbieter	Issabel Foundation
Anbieterseite	https://www.issabel.org/
Quellcode	https://github.com/IssabelFoundation/issabelPBX
Getestet auf	Windows (Burp Suite Community Edition)

Technische Analyse

Was ist CSRF?

Cross-Site-Request-Forgery (CSRF) ist ein Angriff, bei dem der Browser eines Opfers dazu gebracht wird, eine authentifizierte Anfrage im Namen des Angreifers an eine Zielanwendung zu senden. Der Angriff gelingt, wenn:

Das Opfer eine aktive authentifizierte Sitzung mit der Zielanwendung hat.
Die Anwendung sich ausschließlich auf Sitzungscookies zur Authentifizierung von Anfragen verlässt (d.h. kein CSRF-Token, keine Origin/Referer-Validierung, kein SameSite=Strict oder SameSite=Lax-Cookie-Attribut).
Der Angreifer die Struktur der zustandsändernden Anfrage vorhersagen kann.

Grundursache

Der Benutzergruppe löschen-Endpunkt (/index.php?menu=grouplist) in issabel-pbx 4.0.0-6 verarbeitet HTTP-POST-Anfragen, die nur die Aktion delete und einen Parameter id_user enthalten. Die Anwendung führt nicht folgendes durch:

Generierung oder Validierung eines Synchronisierer-Tokens (Anti-CSRF-Token).
Überprüfung der Origin- oder Referer-HTTP-Header.
Setzen des SameSite-Attributs auf Sitzungscookies.

Infolgedessen kann jede im Browser des Opfers geladene Webseite das Löschformular stillschweigend unter Verwendung der vorhandenen Sitzung des Opfers absenden, da der Browser automatisch das Sitzungscookie anhängt.

Gefährdeter Endpunkt

POST /index.php?menu=grouplist HTTP/1.1
Host: <Issabel IP>

delete=Delete&id_user=<USER_GROUP_ID>

Angriffsszenario

Der Angreifer erstellt eine schädliche HTML-Seite mit einem versteckten Formular, das die Löschanfrage an das Issabel-Admin-Panel POSTet.
Der Angreifer liefert die Seite an einen authentifizierten Issabel-Administrator – per Phishing-E-Mail, einen Link in einer Chatnachricht oder ein eingebettetes `` auf einer kompromittierten Seite.
Der Browser des Opfers lädt die Seite. JavaScript sendet das Formular automatisch ab, oder das Opfer wird durch Social Engineering dazu gebracht, auf eine gefälschte "Senden"-Schaltfläche zu klicken.
Der Issabel-Server empfängt eine gültige POST-Anfrage mit dem Sitzungscookie des Administrators und löscht die Zielbenutzergruppe ohne zusätzliche Bestätigung oder Token-Validierung.
Die Benutzergruppe wird dauerhaft entfernt, was möglicherweise Anrufweiterleitungen, Zugriffskontrollen und alle Benutzer, die von dieser Gruppe abhängig waren, stört – was effektiv einen Denial-of-Service auf Anwendungsebene verursacht.

Proof of Concept (PoC)

Warnung: Der folgende PoC wird ausschließlich zu Bildungszwecken bereitgestellt. Verwenden Sie ihn nur in Laborumgebungen oder Systemen, für die Sie ausdrückliche Autorisierung haben.

Schritte zur Reproduktion

Schritt 1 – Melden Sie sich im Issabel-Admin-Panel an

Navigieren Sie zur Benutzergruppenliste und melden Sie sich mit Administrator-Anmeldedaten an.

https://{Issabel IP}/index.php?menu=grouplist&action=view&id=11

Admin-Panel — Benutzergruppenliste

Schritt 2 – Erfassen Sie die Löschanfrage

Versuchen Sie, eine Benutzergruppe zu löschen, während Sie den Datenverkehr durch Burp Suite leiten. Klicken Sie mit der rechten Maustaste auf die erfasste POST-Anfrage und wählen Sie Engagement Tools → Generate CSRF PoC, um das Exploit-HTML-Grundgerüst zu erstellen.

Burp Suite — Erfasste DELETE-Anfrage

Schritt 3 – Hosting der CSRF-Exploit-Seite

Speichern Sie das generierte HTML als Datei (siehe PoC-Exploit-Code unten). Hosten Sie es auf einem angreiferkontrollierten Server oder senden Sie es direkt an das Opfer.

Schritt 4 – Das Opfer öffnet die Exploit-Seite

Wenn der authentifizierte Administrator die Exploit-URL öffnet oder dorthin umgeleitet wird, wird das versteckte Formular automatisch gesendet (oder das Opfer klickt auf den Köder-Button). Die Zielbenutzergruppe wird aus dem Admin-Panel gelöscht.

Exploit abgesendet — Gruppe gelöscht (vorher)

Exploit abgesendet — Gruppe gelöscht (nachher)

PoC-Exploit-Code

Die folgende HTML-Datei (auch verfügbar als CSRF exploit.html) demonstriert den Angriff. Ersetzen Sie {Issabel IP} durch den Zielhost und passen Sie id_user an die zu löschende Gruppen-ID an.

CVE-2023-37597

Beliebteste