sahiloj/cve-2023-37599Issabel-pbx Version 4.0.0-6 enthält eine Broken Access Control-Schwachstelle, die sich als nicht authentifiziertes Directory Listing auf der Weboberfläche äußert.
issabel-pbx Version 4.0.0-6 enthält eine Schwachstelle durch fehlerhafte Zugriffskontrolle (Broken Access Control), die sich als Verzeichnisauflistung (Directory Listing) ohne Authentifizierung in der Weboberfläche äußert. Jeder entfernte, nicht authentifizierte Angreifer kann das modules-Verzeichnis der Anwendung durchsuchen und direkt auf sensible Quelldateien, Konfigurationsdateien und interne Anwendungslogik zugreifen – ohne Anmeldedaten oder Autorisierung.
Diese Schwachstelle wurde von Sahil Ojha am 10. Juli 2023 entdeckt und verantwortungsvoll offengelegt und vom CVE-Programm als CVE-2023-37599 zugewiesen.
| Feld | Wert |
|---|---|
| CVE-ID | CVE-2023-37599 |
| CWE | CWE-548 – Offenlegung von Informationen durch Verzeichnisauflistung |
| Schwachstellentyp | Fehlerhafte Zugriffskontrolle / Informationsoffenlegung |
| Betroffenes Produkt | issabel-pbx |
| Betroffene Version | 4.0.0-6 |
| Entdeckungsdatum | 10. Juli 2023 |
| Forscher | Sahil Ojha |
| Anbieter | Issabel |
| Quellcode | IssabelFoundation/issabelPBX |
| Getestet auf | Windows |
Issabel ist eine Open-Source-Plattform für Unified Communications, die auf Asterisk PBX aufbaut. Ihre Weboberfläche zur Verwaltung wird über das Paket issabel-pbx bereitgestellt. In Version 4.0.0-6 ist der Webserver fehlkonfiguriert und erlaubt Verzeichnisauflistung auf dem Pfad /modules. Da auf diesem Pfad keine Zugriffskontrolle oder Authentifizierungsprüfung durchgesetzt wird, kann ein nicht authentifizierter Angreifer:
Dies verletzt das Prinzip der geringsten Privilegien und stellt eine Schwachstelle durch fehlerhafte Zugriffskontrolle (Broken Access Control) dar, wie sie im OWASP Top 10 (A01:2021) definiert ist.
Ermitteln Sie die IP-Adresse oder den Hostnamen einer Issabel-PBX-Instanz, auf der issabel-pbx 4.0.0-6 läuft.
Öffnen Sie einen Browser (keine Anmeldung oder spezielle Werkzeuge erforderlich) und navigieren Sie zu:
https://<ISSABEL_IP>/modules/
Der Server antwortet mit einer vollständigen Verzeichnisauflistung des Ordners modules und legt dabei alle installierten Modulverzeichnisse und -dateien offen.
Navigieren Sie in ein beliebiges Unterverzeichnis, um weitere Dateien und Ordner innerhalb jedes Moduls aufzulisten.
Öffnen Sie einzelne PHP- oder Konfigurationsdateien direkt im Browser, um den Quellcode der Anwendung zu lesen.
Fahren Sie mit der Traversierung fort, um auf weitere sensible Dateien zuzugreifen, z. B. Skripte für die Anrufweiterleitung, Benutzerverwaltung oder Systemkonfiguration.
Die Schwachstelle geht auf die Apache-Konfiguration (oder eines gleichwertigen Webservers) zurück, die das Issabel-Webroot ausliefert und die Direktive Options Indexes für das Verzeichnis /modules nicht deaktiviert. Wenn Options Indexes aktiviert ist und keine index.php-/index.html-Datei in einem Verzeichnis vorhanden ist, erzeugt und liefert der Webserver automatisch eine durchsuchbare Verzeichnisauflistungsseite.
Anbieter und Administratoren sollten eine oder mehrere der folgenden Maßnahmen umsetzen:
Verzeichnisauflistung deaktivieren in der Webserver-Konfiguration. Für Apache stellen Sie sicher, dass Folgendes für das Modulverzeichnis (oder global) festgelegt ist:
<Directory /var/www/html/modules>
Options -Indexes
</Directory>
Zugriff einschränken auf den Pfad /modules, sodass er nur von localhost oder vertrauenswürdigen Verwaltungsnetzwerken aus erreichbar ist:
<Directory /var/www/html/modules>
Require ip 127.0.0.1
</Directory>
Authentifizierung anwenden auf alle Pfade unter dem Webroot, die nicht absichtlich öffentlich zugänglich sind.
Aktualisieren Sie auf eine gepatchte Version von issabel-pbx, sobald der Anbieter einen Fix veröffentlicht.
Diese Informationen werden ausschließlich für Bildungs- und Forschungszwecke bereitgestellt. Der Autor ist nicht für einen Missbrauch dieser Informationen verantwortlich. Holen Sie vor dem Testen eines Systems auf Schwachstellen stets eine ordnungsgemäße schriftliche Genehmigung ein.
Entdeckt und offengelegt von Sahil Ojha