iTop-CVEs-exploit

Este repositorio contiene exploits para iTOP CVE-2024-52002, 52000, 31998, 31448 que implican encadenamiento CSRF+XSS para obtener privilegios de administrador en el software.

Configuración

1. Descargar la versión vulnerable de iTOP desde docker

sudo docker run -d -p 8090:80 --name=my-itop2 vbkunin/itop:3.1.1 

2. Navegar a localhost:8090 y realizar la instalación estándar
3. Usar el comando de abajo para obtener la contraseña

sudo docker logs my-itop2 | grep -A7 -B1 "Your MySQL user 'admin' has password"

Debería verse algo así

4. Ahora continuar con los pasos de instalación estándar
5. Esto concluirá la fase de configuración y ahora puedes entrar a iTOP

Explotación

Siéntase libre de explorar el software iTOP.

Como atacante, lo más valioso sería obtener acceso remoto al software a través del inicio de sesión de administrador ubicado en http://localhost:8090/pages/UI.php?c%5Bmenu%5D=UserAccountsMenu

XSS

Comencemos probando el exploit XSS, puedes usar el archivo xss.csv en este repositorio de github para probarlo.

1. Navegar a http://localhost:8090/pages/csvimport.php?c%5Bmenu%5D=CSVImport
2. Hacer clic en Seleccionar un archivo y subir el xss.csv
3. Continuar con las opciones estándar hasta el Paso 3
4. En el Paso 3 seleccionar Person como el tipo de importación
5. Al hacer clic en Simular la importación podemos ver el XSS
6. Esto prueba la presencia de XSS.
7. Esto solo no tiene mucho valor, volveremos a ello.

CSRF

Exploremos CSRF, ya que las páginas de CVE nos dicen que hay CSRF en múltiples páginas. Tanto CSRF como XSS por sí solos no nos dan mucho, pero juntos podríamos hacer algo para eventualmente crear una cuenta de administrador.

1. Realicemos una prueba simple, analizando burpsuite para todos los parámetros, crearemos un archivo html de prueba simple y lo alojaremos en un servidor python. (first_step_import_data.html) python3 -m http.server 9001
2. Este archivo explota el CSRF y XSS anteriores para alertarnos con el token CSRF necesario para completar la tarea de importación.
3. Exploramos que este token no está vinculado a ninguna acción, por lo que al recibir este token, podemos hacer que el usuario complete alguna otra operación obteniendo el token desde la página vulnerable a XSS.
4. Cuando alojas el archivo html anterior y haces clic en él como usuario conectado, verás que el token se muestra en una alerta en el navegador.
5. Ahora modificaremos este exploit para que llame a nuestro servidor con el token, que luego se encadenará a la otra parte del exploit donde se usará para crear un usuario. first_step_add_user.html y last_step_add_user.html

Podemos ver que cuando el usuario hace clic en el enlace first_step_add_user.html, primero utiliza el CSRF+XSS para obtener el token de acción y luego lo usa para crear el usuario encadenando. Esencialmente se convierte en CSRF+XSS+CSRF

El enlace vulnerable puede ser enviado al usuario usando un ejemplo de correo de phishing añadido en el repositorio de github.

Referencias

• https://nvd.nist.gov/vuln/detail/cve-2024-52002
• https://nvd.nist.gov/vuln/detail/cve-2024-52000
• https://nvd.nist.gov/vuln/detail/CVE-2024-31998
• https://nvd.nist.gov/vuln/detail/CVE-2024-31448
• https://owasp.org/www-community/HttpOnly
• https://bugbase.ai/blog/how-to-bypass-csrf-protection
• https://medium.com/sessionstack-blog/how-javascript-works-5-types-of-xss-attacks-tips-on-preventing-them-e6e28327748a
• https://www.sitepoint.com/get-url-parameters-with-javascript/
• https://portswigger.net/web-security/csrf#how-to-construct-a-csrf-attack
• https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS