CVE-2021-46075

शोषण शीर्षक: वाहन सेवा प्रबंधन प्रणाली - 'एकाधिक' विशेषाधिकार वृद्धि सीआरयूडी संचालन की ओर ले जाती है

शोषण लेखक: SANU P.L

CVE: CVE-2021-46075

CVSS: 7.2 उच्च

संदर्भ:

विवरण:

Sourcecodester वाहन सेवा प्रबंधन प्रणाली 1.0 में एक विशेषाधिकार वृद्धि भेद्यता मौजूद है। स्टाफ खाता उपयोगकर्ता व्यवस्थापक संसाधनों तक पहुंच सकते हैं और सीआरयूडी संचालन कर सकते हैं।

1. वाहन सेवा प्रबंधन प्रणाली - 'उपयोगकर्ता सूची' (/admin/?page=user/list) (/admin/?page=user/manage_user)

शोषण:

व्यवस्थापक पैनल पर जाएँ http://localhost/vehicle_service/admin
ब्राउज़र A (Chrome) में व्यवस्थापक खाते में लॉगिन करें
ब्राउज़र B (Firefox) में स्टाफ खाते में लॉगिन करें
व्यवस्थापक खाते (Chrome) में उपयोगकर्ता सूची अनुभाग पर जाएँ और Create New बटन पर क्लिक करें।
Create New User का लिंक कॉपी करें http://localhost/vehicle_service/admin/?page=user/manage_user
स्टाफ खाते (Firefox) में उपयोगकर्ता सूची अनुभाग नहीं है क्योंकि स्टाफ खाते के पास उपयोगकर्ता बनाने के अधिकार नहीं थे।
कॉपी किए गए लिंक को ब्राउज़र B (Firefox) में पेस्ट करें।
अब हम उपयोगकर्ता निर्माण पृष्ठ तक पहुंच पा रहे हैं।
आवश्यक विवरण दर्ज करें और Save बटन पर क्लिक करें।
व्यवस्थापक खाते (Chrome) में उपयोगकर्ता सूची अनुभाग पर जाएँ http://localhost/vehicle_service/admin/?page=user/list
नया उपयोगकर्ता सफलतापूर्वक बना लिया गया है।
स्टाफ खाता उपयोगकर्ता सूची पृष्ठ और उपयोगकर्ता निर्माण पृष्ठ तक पहुंच सकता है।
स्टाफ खाता उपयोगकर्ताओं को बना सकता है, पढ़ सकता है, अद्यतन कर सकता है और हटा सकता है।

2. वाहन सेवा प्रबंधन प्रणाली - 'श्रेणी सूची' (/admin/?page=maintenance/category) (/admin/?page=maintenance/manage_category)

शोषण:

व्यवस्थापक पैनल पर जाएँ http://localhost/vehicle_service/admin
ब्राउज़र A (Chrome) में व्यवस्थापक खाते में लॉगिन करें
ब्राउज़र B (Firefox) में स्टाफ खाते में लॉगिन करें
व्यवस्थापक खाते (Chrome) में श्रेणी सूची अनुभाग पर जाएँ और Create New बटन पर क्लिक करें।
Create New Category का लिंक कॉपी करें http://localhost/vehicle_service/admin/?page=maintenance/manage_category
स्टाफ खाते (Firefox) में श्रेणी सूची अनुभाग नहीं है क्योंकि स्टाफ खाते के पास श्रेणी बनाने के अधिकार नहीं थे।
कॉपी किए गए लिंक को ब्राउज़र B (Firefox) में पेस्ट करें।
अब हम श्रेणी निर्माण पृष्ठ तक पहुंच पा रहे हैं।
आवश्यक विवरण दर्ज करें और Save बटन पर क्लिक करें।
व्यवस्थापक खाते (Chrome) में श्रेणी सूची अनुभाग पर जाएँ http://localhost/vehicle_service/admin/?page=maintenance/category
नई श्रेणी सफलतापूर्वक बना ली गई है।
स्टाफ खाता श्रेणी सूची पृष्ठ और श्रेणी निर्माण पृष्ठ तक पहुंच सकता है।
स्टाफ खाता श्रेणी को बना सकता है, पढ़ सकता है, अद्यतन कर सकता है और हटा सकता है।

3. वाहन सेवा प्रबंधन प्रणाली - 'सेवा सूची' (/admin/?page=maintenance/services) (/admin/?page=maintenance/manage_service)

शोषण:

व्यवस्थापक पैनल पर जाएँ http://localhost/vehicle_service/admin
ब्राउज़र A (Chrome) में व्यवस्थापक खाते में लॉगिन करें
ब्राउज़र B (Firefox) में स्टाफ खाते में लॉगिन करें
व्यवस्थापक खाते (Chrome) में सेवा सूची अनुभाग पर जाएँ और Create New बटन पर क्लिक करें।
Create New Service का लिंक कॉपी करें http://localhost/vehicle_service/admin/?page=maintenance/manage_service
स्टाफ खाते (Firefox) में सेवा सूची अनुभाग नहीं है क्योंकि स्टाफ खाते के पास सेवा बनाने के अधिकार नहीं थे।
कॉपी किए गए लिंक को ब्राउज़र B (Firefox) में पेस्ट करें।
अब हम सेवा निर्माण पृष्ठ तक पहुंच पा रहे हैं।
आवश्यक विवरण दर्ज करें और Save बटन पर क्लिक करें।
व्यवस्थापक खाते (Chrome) में सेवा सूची अनुभाग पर जाएँ http://localhost/vehicle_service/admin/?page=maintenance/services
नई सेवा सफलतापूर्वक बना ली गई है।
स्टाफ खाता सेवा सूची पृष्ठ और सेवा निर्माण पृष्ठ तक पहुंच सकता है।
स्टाफ खाता सेवा को बना सकता है, पढ़ सकता है, अद्यतन कर सकता है और हटा सकता है।

4. वाहन सेवा प्रबंधन प्रणाली - 'सेटिंग्स' (/admin/?page=system_info)

शोषण:

व्यवस्थापक पैनल पर जाएँ http://localhost/vehicle_service/admin
ब्राउज़र A (Chrome) में व्यवस्थापक खाते में लॉगिन करें
ब्राउज़र B (Firefox) में स्टाफ खाते में लॉगिन करें
व्यवस्थापक खाते (Chrome) में सेटिंग्स अनुभाग पर जाएँ।
सेटिंग्स अनुभाग का लिंक कॉपी करें http://localhost/vehicle_service/admin/?page=system_info
स्टाफ खाते (Firefox) में सेटिंग्स अनुभाग नहीं है क्योंकि स्टाफ खाते के पास सेटिंग्स तक पहुंचने के अधिकार नहीं थे।
कॉपी किए गए लिंक को ब्राउज़र B (Firefox) में पेस्ट करें।
अब हम सेटिंग्स पृष्ठ तक पहुंच सकते हैं।
आवश्यक विवरण दर्ज करें और Save बटन पर क्लिक करें।
व्यवस्थापक खाते (Chrome) में सेटिंग्स अनुभाग पर जाएँ http://localhost/vehicle_service/admin/?page=system_info
विवरण सफलतापूर्वक अद्यतन कर दिए गए हैं।
स्टाफ खाता सेटिंग्स पृष्ठ तक पहुंच सकता है।
स्टाफ खाता सेटिंग्स को अद्यतन कर सकता है।

प्रभाव:

एक दूरस्थ हमलावर उन संसाधनों तक बढ़ी हुई पहुंच प्राप्त कर सकता है जो सामान्य रूप से अनुपलब्ध होने चाहिए। स्टाफ खाते के उपयोगकर्ता व्यवस्थापक संसाधनों तक पहुंच सकते हैं और सीआरयूडी संचालन कर सकते हैं।

शमन:

निम्नलिखित को लागू करने की अनुशंसा की जाती है:

उचित विशेषाधिकार खाता प्रबंधन
सभी विशेषाधिकार प्राप्त सत्रों की निगरानी और प्रबंधन करें
मजबूत पासवर्ड नीतियां और प्रवर्तन
उपयोगकर्ता इनपुट को साफ करें और डेटाबेस को सुरक्षित करें

Vehicle-Service-Management-System-Multiple-Privilege-Escalation-Leads-to-CRUD-Operations

सबसे लोकप्रिय