karlemilnikka/cve-2023-1430Divulgación responsable de vulnerabilidad sin parchear en FluentCRM por WPManageNinja
Actualización 2023-06-12: Ya no necesitas el fragmento. WPManageNinja parcheó la vulnerabilidad dos horas después de la divulgación pública (93 días después del informe).
Actualización 2024-01-27: El problema relacionado con los valores hash perpetuos ahora está completamente resuelto.
tl;dr Los atacantes pueden ver y editar los datos de contacto en FluentCRM. WPManageNinja no ha parcheado la vulnerabilidad dentro de la ventana de divulgación responsable de 90 días. Proporciono un fragmento de mitigación para prevenir la explotación de la vulnerabilidad mientras se espera un parche oficial.
Hoy publico información sobre una vulnerabilidad que encontré en el popular plugin de WordPress FluentCRM de WPManageNinja. La vulnerabilidad, CVE-2023-1430, es causada por el uso insuficiente de un hash de dirección de correo electrónico como control de autorización por parte de FluentCRM. Divulgué la vulnerabilidad de forma responsable de acuerdo con la política de divulgación de vulnerabilidades de Google Zero. WPManageNinja no ha proporcionado un parche dentro de la ventana de 90 días ni ha solicitado una extensión de tiempo.
En este informe, contacto se refiere a un objeto de contacto de FluentCRM, mientras que usuario se refiere a un objeto de usuario de WordPress. Un contacto puede estar vinculado a un usuario, pero no es un requisito. Los detalles sobre la explotación de la vulnerabilidad se omiten hasta que esté disponible un parche oficial. Los profesionales de seguridad pueden contactarme para obtener el informe completo ([email protected]).
En los sitios que ejecutan FluentCRM, un atacante puede ver y editar el nombre, la dirección de correo electrónico y la configuración de listas de un contacto con solo conocer su dirección de correo electrónico. Dado que el nombre del contacto a menudo se incluye en los boletines mediante etiquetas de combinación, un atacante puede reemplazar el nombre del contacto con lenguaje obsceno, lo que hace que el propietario del sitio web envíe boletines vulgares. Si el administrador del sitio web ha habilitado el shortcode de FluentCRM para gestionar preferencias y lo ha añadido a una página web pública, un atacante puede ver y editar toda la información personal expuesta, es decir, título, número de teléfono, fecha de nacimiento y dirección (según la configuración de FluentCRM).
FluentCRM está instalado en más de 30 000 sitios. Los administradores de sitios con FluentCRM pueden prevenir la explotación de la vulnerabilidad añadiendo mi fragmento de mitigación al archivo functions.php del tema hijo.
El fragmento no parchea la vulnerabilidad. Reemplaza el contenido vulnerable de la página de cancelación de suscripción de FluentCRM (unsubscribe.php) y de la página de gestión de preferencias (manage_subscription.php) con un mensaje de error que indica al contacto que se comunique por correo electrónico en su lugar. La dirección de correo electrónico en el mensaje de error es la del administrador del sitio (se puede cambiar desde el fragmento). El fragmento de mitigación también garantiza que los visitantes no conectados no puedan renderizar el shortcode vulnerable de FluentCRM para gestionar preferencias (fluentcrm_pref). Un visitante no conectado verá en su lugar un mensaje de error indicándole que inicie sesión. Todas las cadenas son traducibles con el archivo POT proporcionado.
Recomiendo a los propietarios de sitios web que implementen la mitigación que proporciono o su propia mitigación correspondiente. Los propietarios de sitios web también deberían verificar la integridad de sus datos de contacto en FluentCRM y, si es posible, revisar sus registros en busca de posibles fugas de datos. Revisar los registros es especialmente importante para los siguientes sitios:
El responsable del tratamiento de datos asignado al sitio web deberá gestionar las posibles fugas de datos personales de acuerdo con las leyes y regulaciones de las jurisdicciones afectadas.
Si FluentCRM está configurado para sincronizar la configuración de un contacto con su usuario correspondiente, un atacante puede cambiar el nombre del usuario. Afortunadamente, FluentCRM no sincroniza las direcciones de correo electrónico de los contactos con los usuarios. Si lo hiciera, esta vulnerabilidad permitiría la toma de control total del sitio. Un atacante habría podido obtener acceso privilegiado cambiando la dirección de correo electrónico del administrador del sitio y luego restableciendo la contraseña del administrador.
Sin embargo, otras soluciones pueden sincronizar todos los metadatos de los contactos con los usuarios, por ejemplo, WP Fusion y la API de FluentCRM. WP Fusion es probablemente el plugin de terceros más popular para sincronizar los metadatos de los contactos entre un CRM (p. ej., FluentCRM) y WordPress. Afortunadamente, la versión actual de WP Fusion no está conectada a los cambios de metadatos iniciados desde los formularios vulnerables. He informado a los desarrolladores de WP Fusion, y no abordarán esta limitación hasta que WPManageNinja haya parcheado la vulnerabilidad.
La API de FluentCRM también se puede utilizar para actualizar datos de contactos y usuarios. Los propietarios de sitios que utilizan la API de FluentCRM para actualizar las direcciones de correo electrónico de los usuarios deben desactivar esta actualización cuando se inicie desde la página o el shortcode de FluentCRM para gestionar preferencias (o añadir mi fragmento de mitigación para garantizar que no se puedan actualizar configuraciones desde los formularios vulnerables).
FluentCRM permite a los contactos cancelar su suscripción y gestionar sus preferencias desde páginas web públicas. Los enlaces a estas páginas se incluyen en todos los boletines. Los cambios realizados en estas páginas se autorizan mediante hashes MD5 de las direcciones de correo electrónico de los contactos, enviados como parámetros de URL. El hash MD5 de una dirección de correo electrónico no es un secreto y cualquiera puede calcularlo. Un atacante puede explotar el uso incorrecto de los hashes para cancelar la suscripción de contactos específicos o cancelar la suscripción de contactos con direcciones de correo electrónico conocidas de forma masiva.
Mientras que la página de cancelación de suscripción se basa únicamente en el hash MD5 para la autorización, la página de gestión de preferencias requiere un parámetro de URL adicional llamado ce_id. En este caso, el ce_id se refiere al ID del contacto en la tabla fc_subscribers. Este ID es un entero incremental. El valor de ce_id se encuentra fácilmente probando todos los valores posibles (el espacio de búsqueda es el número de contactos que se han registrado en el sitio). Los usuarios administradores probablemente tienen valores bajos.
