videnlabs/cve-2022-22828Rapport sur CVE-2022-22828
Viden Labs a découvert une vulnérabilité de référence directe d'objet non sécurisée (IDOR) dans SynaMan de Synametrics. Cette vulnérabilité est présente dans les versions 4.9 et antérieures.
Cette vulnérabilité a depuis été corrigée dans la version 5.0.
« Les références directes d'objets non sécurisées (IDOR) sont un type de vulnérabilité de contrôle d'accès qui survient lorsqu'une application utilise une entrée fournie par l'utilisateur pour accéder directement à des objets. » - https://portswigger.net/web-security/access-control/idor.
La vulnérabilité peut être exploitée, ce qui permet d'accéder à des fichiers (potentiellement sensibles) dans le dossier personnel d'un utilisateur SynaMan (y compris les sous-dossiers), auxquels il n'est pas autorisé à accéder.
Un utilisateur SynaMan nommé « internaluser ». Cet utilisateur était joint à AD, mais cela ne fait pas de différence s'il n'est pas joint à AD.
Dans le dossier personnel d'internaluser, il y a deux fichiers :
Figure 1 : Répertoire utilisateur avec fichiers
Un lien de téléchargement a été créé pour file-download.docx et partagé avec une partie externe simulée.
Figure 2 : Page de téléchargement de fichiers SynaMan
Le test de l'application web a été effectué depuis le réseau 10.0.2.0/24, en utilisant Burp Suite sur Kali.
L'instance Windows Server 2019 exécute une configuration par défaut, avec les dernières mises à jour de sécurité appliquées, et le port 443 entrant ouvert.
SynaMan a été configuré conformément aux meilleures pratiques, en suivant les directives du site Web de Synametrics Technologies.
La Figure 3 ci-dessous présente un aperçu de la configuration réseau pour le test en laboratoire.
Figure 3 : Topologie de test SynaMan
| Ordinateur | Rôle | OS | Navigateur |
|---|---|---|---|
| 10.0.2.30 | Serveur de test d'application web | Kali Linux (VM) | Navigateur intégré Burp Suite |
| 10.0.3.50 | Serveur SynaMan | Windows Server 2019 (VM) | N/A |
Tableau 1 - Informations supplémentaires sur la configuration
Une vulnérabilité a été découverte lorsqu'une partie externe accède à un lien de téléchargement, soit partagé avec elle, soit trouvé en googlant « pubopp? ». Le lien hypertexte de téléchargement de fichier contient un nom de fichier encodé en base64, incluant le chemin. Ce chemin peut être modifié pour télécharger d'autres fichiers du dossier de l'utilisateur qui n'ont pas été partagés. Bien que cela nécessite qu'un attaquant devine correctement un nom de fichier, des outils comme Burp Suite rendent cette recherche par force brute triviale et automatisée. Une représentation graphique en est donnée dans la Figure 4 ci-dessous.
Figure 4 : Représentation graphique de la vulnérabilité de la requête GET
La Figure 5 ci-dessous montre la requête GET résultante lorsque le lien de téléchargement est cliqué.
Figure 5 : Requête GET Burp Suite
L'inspection du nom de fichier encodé en base64 (passé comme paramètre nommé « fn ») montre l'emplacement du fichier.
Figure 6 : Nom de fichier Base64 dans Burp Suite
En utilisant Burp Suite, cela peut être modifié pour un autre nom de fichier, et substitué dans la requête GET. Pour cet exemple, nous utiliserons « secret.txt », car nous savons que ce fichier existe dans le dossier.
Figure 7 : Nom de fichier Base64 modifié dans Burp Suite
Figure 8 : Requête GET modifiée dans Burp Suite
La soumission de la requête GET modifiée nous permet de télécharger le fichier qui n'a pas été partagé, comme le montre la Figure 9 ci-dessous.
Figure 9 : Téléchargement non autorisé SynaMan
Les paramètres de sécurité actuellement disponibles dans SynaMan ne fournissent pas de contrôle pour atténuer cette attaque, mais tous les fichiers téléchargés sont enregistrés.
