iTop-CVEs-exploit

Ce dépôt contient des exploits pour les CVE-2024-52002, 52000, 31998 et 31448 d'iTOP qui combinent CSRF+XSS pour obtenir des privilèges administrateur sur le logiciel.

Mise en place

1. Téléchargez la version vulnérable d'iTOP depuis docker

sudo docker run -d -p 8090:80 --name=my-itop2 vbkunin/itop:3.1.1 

2. Rendez-vous sur localhost:8090 et effectuez l'installation standard
3. Utilisez la commande ci-dessous pour obtenir le mot de passe

sudo docker logs my-itop2 | grep -A7 -B1 "Your MySQL user 'admin' has password"

Cela devrait ressembler à ceci

4. Continuez maintenant avec les étapes d'installation standard
5. Ceci conclut la phase de mise en place et vous pouvez maintenant accéder à iTOP

Exploitation

N'hésitez pas à explorer le logiciel iTOP.

Pour un attaquant, l'objectif le plus précieux serait d'obtenir un accès distant au logiciel via la connexion administrateur située à http://localhost:8090/pages/UI.php?c%5Bmenu%5D=UserAccountsMenu

XSS

Commençons par tester l'exploit XSS, vous pouvez utiliser le fichier xss.csv de ce dépôt GitHub pour ce test.

1. Accédez à http://localhost:8090/pages/csvimport.php?c%5Bmenu%5D=CSVImport
2. Cliquez sur Select a File et téléversez le fichier xss.csv
3. Continuez avec les options standard jusqu'à l'étape 3
4. À l'étape 3, sélectionnez Person comme type d'importation
5. En cliquant sur Simulate the import, nous pouvons voir le XSS
6. Cela prouve la présence d'une XSS.
7. Cela seul n'a pas une grande valeur, nous y reviendrons.

CSRF

Explorons les CSRF, car les pages des CVE nous indiquent qu'il y a des CSRF sur plusieurs pages. Les CSRF et les XSS seules ne nous apportent pas grand-chose, mais ensemble, nous pourrions faire quelque chose pour finalement créer un compte administrateur.

1. Effectuons un test simple : en examinant tous les paramètres dans BurpSuite, nous allons créer un simple fichier HTML de test et l'héberger sur un serveur Python. (first_step_import_data.html) python3 -m http.server 9001
2. Ce fichier exploite la CSRF et la XSS ci-dessus pour nous afficher le jeton CSRF nécessaire à la réalisation de la tâche d'importation.
3. Nous avons découvert que ce jeton n'est lié à aucune action ; une fois ce jeton reçu, nous pouvons amener l'utilisateur à effectuer une autre opération en obtenant le jeton à partir de la page vulnérable aux XSS.
4. Lorsque vous hébergez le fichier HTML ci-dessus et que vous cliquez dessus en tant qu'utilisateur connecté, vous verrez que le jeton est affiché dans une alerte du navigateur.
5. Nous allons maintenant modifier cet exploit pour appeler notre serveur avec le jeton, qui sera ensuite enchaîné à l'autre partie de l'exploit où il servira à créer un utilisateur. first_step_add_user.html et last_step_add_user.html

Nous pouvons voir que lorsque l'utilisateur clique sur le lien first_step_add_user.html, l'exploit utilise d'abord la CSRF+XSS pour obtenir le jeton d'action, puis l'utilise pour créer l'utilisateur par enchaînement. Essentiellement, cela devient CSRF+XSS+CSRF

Le lien vulnérable peut être envoyé à l'utilisateur à l'aide d'un exemple d'e-mail de phishing ajouté dans le dépôt GitHub.

Références

• https://nvd.nist.gov/vuln/detail/cve-2024-52002
• https://nvd.nist.gov/vuln/detail/cve-2024-52000
• https://nvd.nist.gov/vuln/detail/CVE-2024-31998
• https://nvd.nist.gov/vuln/detail/CVE-2024-31448
• https://owasp.org/www-community/HttpOnly
• https://bugbase.ai/blog/how-to-bypass-csrf-protection
• https://medium.com/sessionstack-blog/how-javascript-works-5-types-of-xss-attacks-tips-on-preventing-them-e6e28327748a
• https://www.sitepoint.com/get-url-parameters-with-javascript/
• https://portswigger.net/web-security/csrf#how-to-construct-a-csrf-attack
• https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS