Üçü aynı ürünün aynı sürümünde ve aynı zafiyet sınıfında olduğu için tek bildirim altında toplanmış, tek bir CVE kimliği altında yayımlanmıştır. Etki bakımından en ağır olanı 1 numaralı noktadır.

1. Oturum Açma Sayfası — devam Parametresi

En kritik olan bu. Enjeksiyon noktası doğrudan kimlik doğrulama formunun kendi HTML etiketi.

devam parametresi kullanıcının girişten sonra döneceği adresi taşır ve hex kodlu gelir — 2f796f7264616d2f değeri /yordam/ demektir. Uygulama bu değeri hex'ten çözer ve giriş formunun açılış etiketine yazar. Arada hiçbir escape işlemi yoktur:

Çıktıda <, > ve tırnak karakterleri ham olarak yer alır. Payload'ı tutan tek şey data-url attribute'unun tek tırnakla sarılmış olmasıdır. Girdinin içine tek tırnak konduğunda o da biter: attribute kapanır, <form> etiketi kapanır ve saldırganın yazdığı HTML sayfanın kimlik doğrulama formunun yerine geçer.

Form action'ı ele geçiriliyor. Burada sahte bir form çizilmiyor — uygulamanın kendi formu boş bırakılıp kapatılıyor, hemen ardından aynı CSS sınıflarını taşıyan yeni bir <form> açılıyor. Sayfadaki kullanıcı adı, parola ve doğrulama kodu alanlarının hepsi uygulamanın orijinal HTML'i olduğu için bu yeni formun içinde kalıyor. Kullanıcı gerçek formu görüyor, gerçek formu dolduruyor; girdiği bilgiler saldırganın sunucusuna gidiyor. Görsel olarak ayırt edilebilecek hiçbir fark yok.

Kritik olan nokta: enjeksiyon rastgele bir sayfada değil, kullanıcının parolasını girmesinin zaten beklendiği sayfada gerçekleşiyor. Sıradan bir reflected injection'da saldırganın kurbanı ikna etmesi gerekir; burada ikna işini uygulamanın kendi arayüzü yapıyor.

2. Gizli Form Alanı value Attribute'u — Çift URL Kod Çözme

Arama sayfasında GET parametrelerinin değerleri gizli form alanlarına yazılır. Bu noktada escape uygulanır — ama yanlış sırada.

Aynı q değeri tek yanıt içinde üç ayrı bağlamda kullanılır ve her biri farklı kod çözme derinliğine sahiptir:

İşlem sırası şöyle:

Giriş filtresi ve escape birinci kod çözme katmanında çalışırken, çıktı ikinci katmandan besleniyor. Aynı payload'ın tek ve çift kodlanmış hâlleri karşılaştırıldığında fark net görülüyor:

Zafiyet q parametresine özgü değil. Gizli alan üreten blok, istekteki tüm GET parametreleri üzerinde dolaşır; tip ve alan üzerinde de ayrıca doğrulanmıştır.

3. Gizli Form Alanı name Attribute'u — Parametre Adında Enjeksiyon

Aynı blok her GET parametresi için şu yapıyı üretir:

Escape yalnızca value tarafına uygulanır. name tarafına hiç uygulanmaz. Bu noktada çift kodlamaya da gerek yoktur — tek kodlama yeterlidir, çünkü ortada atlatılacak bir escape zaten yoktur.

Uydurulmuş bir parametre adı doğrudan name attribute'una ham olarak yazılır ve attribute'tan çıkılabilir. Parametre adı saldırgan kontrolünde olduğundan, uygulamanın tanıdığı bir parametre olmasına da gerek yoktur.

Bu üç noktanın 2 ve 3 numaralıları aynı kod bloğundan kaynaklanır ve bu blok altı ayrı formda tekrar eder: dilForm, adetForm, siralaForm, tkForm, ekForm, tmForm. Yani tek bir istekte enjeksiyon altı kez gerçekleşir.

Bloğun dinamik olduğu iki isteğin çıktısı karşılaştırılarak doğrulanmıştır:

Üretilen alanlar sabit bir listeden değil, doğrudan istekteki parametrelerden türetilmektedir. Dolayısıyla hem name hem value attribute'una yazılan içerik saldırgan kontrolündedir.

Etki

Saldırganın ihtiyacı olan tek şey, kurbanın açacağı bir bağlantı. Oturum açmasına, hesabının olmasına gerek yok.

• Kimlik bilgisi hırsızlığı. 1 numaralı nokta üzerinden giriş formunun action hedefi saldırgana çevriliyor. Doğrulandı.
• Kurum kimliğiyle sahte içerik. Adres çubuğunda kurumun kendi alan adı ve geçerli TLS sertifikası duruyor. Sahte duyuru, sahte kampanya, sahte bilgilendirme metni yerleştirilebiliyor.
• İçerik tahrifi ve yönlendirme. Sayfa görünümü değiştirilebiliyor, kullanıcı harici adrese taşınabiliyor.

Etkilenen platform kütüphane üyelerinin kimlik bilgilerini ve kişisel verilerini barındırdığından, ele geçirilen hesaplar üzerinden üye kayıtlarına erişim mümkün olmaktadır.

Neden Mevcut Korumalar Durdurmuyor

Uygulama CSP kullanıyor ve script-src ile object-src nonce tabanlı; yani klasik script tabanlı XSS bu sayfalarda çalışmıyor. İlk bakışta bu, bulguyu "sadece içerik tahrifi" seviyesine indirir gibi görünüyor.

Politikanın tamamı şu:

form-action yok. default-src de yok — dolayısıyla tanımlanmamış direktifler için geri düşülecek bir varsayılan da yok. Sonuç: formun saldırganın sunucusuna POST atması tarayıcı tarafından hiçbir şekilde engellenmiyor.

Kimlik bilgisi çalmak için JavaScript çalıştırmak gerekmiyor. Düz HTML yetiyor, CSP de düz HTML'i durdurmuyor.

İlişkili Zayıflıklar

Birincil

• CWE-79 — Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')

İlgili

• CWE-116 — Improper Encoding or Escaping of Output
• CWE-174 — Double Decoding of the Same Data
• CWE-172 — Encoding Error
• CWE-451 — User Interface (UI) Misrepresentation of Critical Information

CVE kaydında birincil zayıflık CWE-79 olarak sınıflandırılmıştır. Kök neden düzeyinde CWE-116 daha açıklayıcıdır: üç noktanın da nedeni çıktı escape'inin ya hiç uygulanmaması ya da yanlış sırada uygulanmasıdır.

Bu üründe script yürütülmediğini belirtmek gerekir — ürünün kendi gönderdiği nonce tabanlı script-src politikası buna izin vermiyor ve nonce değeri cross-origin okunamıyor. Gerçekleşen etki script yürütme değil, HTML enjeksiyonu ve giriş formunun ele geçirilmesidir. CAPEC-148 (Content Spoofing) eşlemesi de bu nedenle yapılmıştır.

CWE-174, özellikle 2 numaralı nokta için geçerlidir — aynı verinin escape'ten sonra ikinci kez çözülmesi.

Şiddet

Orta — CVSS 3.1 Temel Puan 6.1 (AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N)

Saldırganın herhangi bir yetkiye ihtiyacı yok; kurbanın hazırlanmış bağlantıyı açması gerektiği için kullanıcı etkileşimi Gerekli. Scope, enjekte edilen içeriğin tarayıcının güvenlik bağlamında işlenmesi nedeniyle Changed alınmıştır.

Üç noktanın üçü de aynı puana karşılık gelmektedir. Etki bakımından en ağırı 1 numaralı noktadır: enjeksiyon doğrudan kimlik doğrulama formunun kendi etiketinde gerçekleştiği için form action hedefinin ele geçirilmesi ve kimlik bilgisi hırsızlığı mümkün olmaktadır.

Etkilenen Sürümler

Doğrulama v22.1 üzerinde yapıldı. Zafiyetler kuruma özgü yapılandırma hatası değil, ürünün ortak arayüz bileşenlerinden kaynaklanmaktadır; aynı sürüm ailesindeki tüm kurulumları etkiler. Daha eski sürümlerin durumunu üreticinin değerlendirmesi gerekiyor.

Kurulumlar on-premise olduğundan, üretici düzeltmeyi yayımlamış olsa dahi güncellemeyi uygulamamış kurulumlar etkilenmeye devam eder.

Etkilenen Bileşen

2 ve 3 numaralı noktalar aynı gizli alan üretici bloktan kaynaklanır; blok dilForm, adetForm, siralaForm, tkForm, ekForm ve tmForm formlarında tekrar eder.

Çözüm

Zafiyetler üretici tarafından giderilmiştir. Uygulama v22.2 veya üzeri bir sürüme yükseltilmelidir.

CVE Kaydı

Üretici: Yordam Bilgi Teknolojileri Danışmanlık Eğitim ve Elektronik Sistemler Sanayi ve Ticaret A.Ş.

Bulan

Alkım Coşkun – Netlore Security

Açıklama Takvimi