lanmarc77/cve-2021-33831Codice di esempio di exploit per CVE-2021-33831
L'applicazione viene utilizzata per tracciare le persone secondo le leggi tedesche sulle infezioni per poter tracciare le catene di infezione da Covid-19. È stato creato da un progetto studentesco chiamato iCampus ed è utilizzato non solo presso l'università di Wildau ma anche a Cottbus-Senftenberg. Sono coinvolte circa 10.000 persone. Gli ospiti delle università sono tenuti a utilizzare questa applicazione.
L'applicazione è composta da un frontend Vue e un backend Laravel.
Il backend espone l'endpoint di registrazione degli utenti ospiti /corona-app-backend/api/account/register
che consente la registrazione degli ospiti dell'università. I membri dell'università possono accedere utilizzando la loro combinazione username/password di single sign-on.
Questo endpoint di registrazione non è protetto contro la creazione automatizzata di utenti (ad esempio tramite un captcha). Una volta che un programma ottiene un cookie csrf tramite /corona-app-backend/sanctum/csrf-cookie e un token di sessione tramite /corona-app-backend/account, può creare utenti. Quanti ne vuole. Per tutto il tempo che vuole. Troppi utenti falsi rendono praticamente impossibile per un'organizzazione sanitaria tracciare le catene di infezione, rendendo questo un tipo di attacco denial of service.
La registrazione di un utente è un POST all'endpoint di registrazione contenente il cookie csrf e il token di sessione con il seguente payload json:
{"first_name":"John","last_name":"Doe","telephone":"099182","email":null,"accept":true}
È necessario impostare almeno uno dei campi email o telefono. Entrambi non sono verificati (a parte i controlli sintattici).
Con una sessione utente valida, è possibile creare visite (check-in nelle stanze) tramite l'endpoint /corona-app-backend/api/visit
Una visita è un POST all'endpoint di visita contenente il cookie csrf e il token di sessione con il seguente payload json:
{"room":"15-K01","visited_on":"2021-05-09T22:01:00.000Z","exited_on":"2021-05-10T21:59:00.000Z"}'
Il valore del campo room può essere ottenuto da un elenco che può essere recuperato dall'endpoint delle stanze /corona-app-backend/api/rooms e fornisce un json con tutte le stanze dell'università. Per far riuscire la chiamata è sufficiente il cookie csrf e il token di sessione.
Il problema può essere paragonato a CVE-2021-33840 ma va molto oltre.
Inoltre l'applicazione non contiene alcuna crittografia nelle parti frontend/backend (a parte la crittografia del trasporto tramite https). Il backend riceve dati json non crittografati e fornisce dati json non crittografati.
Il codice exploit completamente automatizzato in linguaggio Perl crea 500 utenti (da database di nomi casuali) con numeri di telefono casuali ma dall'aspetto valido e tutti gli utenti vengono registrati in una stanza. Completamente automatizzato. È stato inserito un ritardo di 5s/richiesta per non sovraccaricare il server e per non attivare eventuali protezioni esistenti. L'exploit è stato eseguito con successo in modo completamente automatizzato e ho segnalato il problema, inclusi gli utenti falsi creati, all'università lo stesso giorno.
Prima di scegliere una stanza mi sono assicurato che la stanza non fosse stata visitata quel giorno. Questo è possibile perché l'applicazione contiene un contatore di quante persone si sono incontrate in una stanza specifica. Quindi se si visita una stanza e quel contatore è 0, nessun altro era in quella stanza in quel periodo.
L'applicazione era anche affetta da una RCE di CVE-2021-3129 che ho segnalato il 12.04.2021 all'università.
Il problema attuale è stato segnalato il 31.05.2021.
Per entrambe le segnalazioni ho ricevuto una email di conferma di ricezione il giorno dopo la segnalazione. Non ho ricevuto altro dopo.
Una richiesta del codice sorgente dell'applicazione è in corso.
