karlemilnikka/cve-2023-1430WPManageNinja द्वारा FluentCRM में अनपैच्ड कमजोरी का जिम्मेदाराना खुलासा
अद्यतन 2023-06-12: अब आपको स्निपेट की आवश्यकता नहीं है। WPManageNinja ने सार्वजनिक प्रकटीकरण के दो घंटे बाद (रिपोर्ट करने के 93 दिन बाद) भेद्यता को पैच कर दिया।
अद्यतन 2024-01-27: स्थायी हैश मानों से संबंधित मुद्दा अब पूरी तरह से हल हो गया है।
tl;dr हमलावर FluentCRM में संपर्क विवरण देख और संपादित कर सकते हैं। WPManageNinja ने 90-दिवसीय जिम्मेदार प्रकटीकरण समय सीमा के भीतर भेद्यता को पैच नहीं किया है। मैं आधिकारिक पैच की प्रतीक्षा करते हुए भेद्यता शोषण को रोकने के लिए एक शमन स्निपेट प्रदान करता हूं।
आज, मैं WPManageNinja द्वारा लोकप्रिय WordPress प्लगइन FluentCRM में मिली एक भेद्यता के बारे में जानकारी प्रकाशित कर रहा हूं। भेद्यता, CVE-2023-1430, प्राधिकरण नियंत्रण के रूप में ईमेल पते के हैश के FluentCRM के अपर्याप्त उपयोग के कारण होती है। मैंने Google Zero की भेद्यता प्रकटीकरण नीति के अनुसार जिम्मेदारी से भेद्यता का खुलासा किया। WPManageNinja ने न तो 90-दिवसीय समय सीमा के भीतर पैच प्रदान किया है और न ही समय विस्तार का अनुरोध किया है।
इस रिपोर्ट में, contact FluentCRM संपर्क ऑब्जेक्ट को संदर्भित करता है, जबकि user WordPress उपयोगकर्ता ऑब्जेक्ट को संदर्भित करता है। एक संपर्क किसी उपयोगकर्ता से जोड़ा जा सकता है, लेकिन यह आवश्यक नहीं है। भेद्यता के शोषण के बारे में विवरण तब तक रोके गए हैं जब तक कोई आधिकारिक पैच उपलब्ध नहीं हो जाता। सुरक्षा पेशेवर पूरी रिपोर्ट के लिए मुझसे संपर्क कर सकते हैं ([email protected])।
FluentCRM चलाने वाली साइटों पर, एक हमलावर किसी संपर्क का नाम, ईमेल पता, और सूची सेटिंग देख और संपादित कर सकता है, यदि वह संपर्क का ईमेल पता जानता है। चूंकि संपर्क का नाम अक्सर मर्ज टैग के माध्यम से न्यूज़लेटर में शामिल किया जाता है, एक हमलावर संपर्क के नाम को अश्लील भाषा से बदल सकता है, जिससे वेबसाइट मालिक को अश्लील न्यूज़लेटर भेजने पड़ सकते हैं। यदि वेबसाइट व्यवस्थापक ने FluentCRM के प्रबंधन प्राथमिकताओं के लिए शॉर्टकोड को सक्षम किया है और इसे एक सार्वजनिक वेब पेज पर जोड़ा है, तो एक हमलावर सभी उजागर व्यक्तिगत जानकारी को देख और संपादित कर सकता है, जैसे शीर्षक, फोन नंबर, जन्म तिथि, और पता (FluentCRM कॉन्फ़िगरेशन पर निर्भर करता है)।
FluentCRM 30,000 से अधिक साइटों पर स्थापित है। FluentCRM साइटों के साइट व्यवस्थापक अपने चाइल्ड-थीम की functions.php फ़ाइल में मेरा शमन स्निपेट जोड़कर भेद्यता के शोषण को रोक सकते हैं।
स्निपेट भेद्यता को पैच नहीं करता है। यह FluentCRM के अनसब्सक्राइब करने के पृष्ठ (unsubscribe.php) और प्रबंधन प्राथमिकताओं के पृष्ठ (manage_subscription.php) पर भेद्य सामग्री को एक त्रुटि संदेश से बदल देता है जो संपर्क को इसके बजाय ईमेल के माध्यम से संपर्क करने के लिए कहता है। त्रुटि संदेश में ईमेल पता साइट का व्यवस्थापक ईमेल पता है (इसे स्निपेट से बदला जा सकता है)। शमन स्निपेट यह भी सुनिश्चित करता है कि गैर-लॉग-इन विज़िटर FluentCRM के भेद्य शॉर्टकोड (fluentcrm_pref) को रेंडर नहीं कर सकते। गैर-लॉग-इन विज़िटर इसके बजाय एक त्रुटि संदेश देखेगा जो उसे लॉग इन करने के लिए कहता है। सभी स्ट्रिंग्स प्रदान की गई पीओटी फ़ाइल से अनुवाद योग्य हैं।
मैं वेबसाइट मालिकों को सलाह देता हूं कि वे या तो मेरे द्वारा प्रदान किए गए शमन को लागू करें या अपना स्वयं का संगत शमन लागू करें। वेबसाइट मालिकों को अपने FluentCRM संपर्क डेटा की अखंडता की पुष्टि करनी चाहिए और, यदि संभव हो, तो संभावित डेटा लीक के लिए अपने लॉग की जांच करनी चाहिए। लॉग की जांच करना विशेष रूप से निम्नलिखित साइटों के लिए महत्वपूर्ण है:
वेबसाइट का नियुक्त डेटा नियंत्रक प्रभावित क्षेत्राधिकारों में कानूनों और विनियमों के अनुसार व्यक्तिगत जानकारी के संभावित डेटा लीक को संभालेगा।
यदि FluentCRM को किसी संपर्क की सेटिंग्स को उसके संगत उपयोगकर्ता से सिंक करने के लिए कॉन्फ़िगर किया गया है, तो एक हमलावर उपयोगकर्ता का नाम बदल सकता है। सौभाग्य से, FluentCRM संपर्कों से उपयोगकर्ताओं में ईमेल पतों को सिंक नहीं करता है। यदि FluentCRM ऐसा करता, तो यह भेद्यता पूर्ण साइट अधिग्रहण को सक्षम बनाती। एक हमलावर साइट व्यवस्थापक का ईमेल पता बदलकर और फिर व्यवस्थापक का पासवर्ड रीसेट करके विशेषाधिकार प्राप्त पहुंच प्राप्त कर सकता था।
हालांकि, अन्य समाधान संपर्कों से उपयोगकर्ताओं में सभी मेटाडेटा को सिंक कर सकते हैं, जैसे WP Fusion और FluentCRM का API। WP Fusion संभवतः CRM (जैसे FluentCRM) और WordPress के बीच संपर्कों के मेटाडेटा को सिंक करने के लिए सबसे लोकप्रिय तृतीय-पक्ष प्लगइन है। सौभाग्य से, WP Fusion का वर्तमान संस्करण भेद्य फॉर्मों से शुरू किए गए मेटाडेटा परिवर्तनों से जुड़ा नहीं है। मैंने WP Fusion के डेवलपर्स को सूचित किया है, और वे तब तक इस सीमा को संबोधित नहीं करेंगे जब तक WPManageNinja भेद्यता को पैच नहीं कर देता।
FluentCRM का API संपर्क और उपयोगकर्ता डेटा को अपडेट करने के लिए भी उपयोग किया जा सकता है। साइट मालिक जो उपयोगकर्ताओं के ईमेल पतों को अपडेट करने के लिए FluentCRM के API का उपयोग करते हैं, उन्हें इस अपडेट को तब अक्षम करना होगा जब यह FluentCRM के पृष्ठ या प्रबंधन प्राथमिकताओं के शॉर्टकोड से शुरू हो (या मेरा शमन स्निपेट जोड़ें ताकि भेद्य फॉर्मों से कोई सेटिंग अपडेट न हो)।
FluentCRM संपर्कों को सार्वजनिक वेब पेजों से अनसब्सक्राइब करने और प्राथमिकताएं प्रबंधित करने देता है। इन पृष्ठों के लिंक प्रत्येक न्यूज़लेटर में शामिल होते हैं। इन पृष्ठों पर किए गए परिवर्तनों को संपर्कों के ईमेल पतों के MD5 हैश द्वारा अधिकृत किया जाता है, जो URL पैरामीटर के रूप में पारित होते हैं। किसी ईमेल पते का MD5 हैश कोई रहस्य नहीं है और किसी के द्वारा भी गणना की जा सकती है। एक हमलावर हैश के गलत उपयोग का शोषण करके विशिष्ट संपर्कों को अनसब्सक्राइब कर सकता है या ज्ञात ईमेल पतों वाले संपर्कों को सामूहिक रूप से अनसब्सक्राइब कर सकता है।
जबकि अनसब्सक्रिप्शन पृष्ठ पूरी तरह से प्राधिकरण के लिए MD5 हैश पर निर्भर करता है, प्रबंधन प्राथमिकताओं का पृष्ठ ce_id नामक एक अतिरिक्त URL पैरामीटर की आवश्यकता है। इस मामले में, ce_id fc_subscribers तालिका में संपर्क के आईडी को संदर्भित करता है। यह आईडी एक वृद्धिशील पूर्णांक है। इसलिए ce_id मान सभी संभावित मानों का परीक्षण करके आसानी से पाया जा सकता है (खोज स्थान साइट पर कभी पंजीकृत संपर्कों की संख्या है)। व्यवस्थापक उपयोगकर्ताओं के शायद कम मान होते हैं।
प्रबंधन प्राथमिकताओं के पृष्ठ से, एक हमलावर संपर्क के secure_hash मान को भी निकाल सकता है। संपर्क के ईमेल पते को अपडेट करके, संपर्क का "secure_hash" मान fc_hash_secure नामक कुकी में संग्रहीत किया जाता है। इस कुकी के साथ, हमलावर FluentCRM के प्राथमिकता फॉर्म शॉर्टकोड द्वारा उपलब्ध कराई गई सभी संपर्क जानकारी प्रदर्शित कर सकता है।
पूर्वोक्त "secure_hash" एक मान है जिस पर FluentCRM (कुछ स्थितियों में) MD5 ईमेल पता हैश के बजाय या विकल्प के रूप में निर्भर करता है। FluentCRM 2.8.0 के रिलीज़ के बाद से, अनसब्सक्राइब पृष्ठ पूरी तरह से प्राधिकरण के लिए secure_hash मान पर निर्भर करता है। प्रबंधन प्राथमिकताओं का पृष्ठ प्राधिकरण के लिए नए secure_hash मान और पुराने MD5 ईमेल पता हैश दोनों को स्वीकार करता है।
