CVE-2024-30956

cfr. https://www.lauyan.com/en/toweb-updates.html#iyFEw37D

Vulnerabilità di iniezione HTML (XSS basato su DOM) in TOWeb versione 5 <= 12.05 che consente a un attaccante di iniettare codice HTML/JS tramite il componente _message.html.

Spiegazione

• il file _message.html viene utilizzato per visualizzare una pagina di errore, decodificando ed eseguendo il cifrario subito dopo il ?.
• il cifrario è codice HTML, codificato in base64 e poi invertito (per un sito web in inglese, la pagina di errore sarebbe 127.0.0.1:8000/_message.html?==gP2lGZvwjP2lGZvwjPyJGP+InY84DcvwDZuV3bGBCdv5EIldWYQ5Dc84jMo9CPg4jMoxjPiEmchBXL3RnI9M3chx2YgYXakxjPxg2L8IXdlJncF5TMoxjPiIXZ05WZjpjbnlGbh1Cd4VGdi0TZslHdzBidpRGP)
• poiché si tratta di codice HTML, possiamo inserirvi codice javascript, che verrà eseguito quando l'utente naviga all'url

Impatto

• Ad esempio, l'XSS può essere usato con tecniche di social engineering per rubare le credenziali degli utenti o indurre un utente a scaricare un malware, sfruttando la fiducia che l'utente ripone in un'azienda.
• cfr. https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/XSS%20Injection#exploit-code-or-poc

Mitigazione

• Questa vulnerabilità è corretta nella versione 12.06

Exploit

• python3 poc.py; python3 -m http.server -d src -> es. http://127.0.0.1:8000/_message.html?==gC+QHcpJ3Yz9CPpcyUThFIkV2chJWLN9ERngCdyVGbh5DdwlmcjNHP
• naviga all'url, il codice JS viene eseguito
• PS: src contiene una copia del codice HTML/JS pertinente, poiché TOWeb è closed source e non consente di scaricare una versione precedente senza pagare