Un attaccante remoto non autenticato può creare una pagina HTML dannosa che, quando visitata da un amministratore autenticato, invia silenziosamente una richiesta HTTP POST contraffatta per eliminare qualsiasi gruppo di utenti. Poiché l'applicazione non valida l'origine delle richieste che modificano lo stato tramite token CSRF o policy dei cookie SameSite, il browser include automaticamente il cookie di sessione dell'amministratore, facendo sì che l'eliminazione riesca all'insaputa o senza il consenso della vittima.

Dettagli della vulnerabilità

Prodotto interessato

Analisi tecnica

Cos'è il CSRF?

Il Cross-Site Request Forgery (CSRF) è un attacco che induce il browser della vittima a inviare una richiesta autenticata a un'applicazione target per conto dell'attaccante. L'attacco riesce quando:

1. La vittima ha una sessione autenticata attiva con l'applicazione target.
2. L'applicazione si affida esclusivamente ai cookie di sessione per autenticare le richieste (ovvero nessun token CSRF, nessuna validazione di Origin/Referer, nessun attributo del cookie SameSite=Strict o SameSite=Lax).
3. L'attaccante può prevedere la struttura della richiesta che modifica lo stato.

Causa principale

L'endpoint di eliminazione dei gruppi di utenti (/index.php?menu=grouplist) in issabel-pbx 4.0.0-6 elabora richieste HTTP POST che contengono solo l'azione delete e un parametro id_user. L'applicazione non:

• Genera o valida un token sincronizzatore (anti-CSRF).
• Controlla le intestazioni HTTP Origin o Referer.
• Imposta l'attributo SameSite sui cookie di sessione.

Di conseguenza, qualsiasi pagina web caricata nel browser della vittima può inviare silenziosamente il modulo di eliminazione utilizzando la sessione esistente della vittima, poiché il browser allegherà automaticamente il cookie di sessione.

Endpoint vulnerabile

Scenario di attacco

1. L'attaccante crea una pagina HTML dannosa contenente un modulo nascosto che invia la richiesta di eliminazione al pannello di amministrazione di Issabel.
2. L'attaccante consegna la pagina a un amministratore Issabel autenticato — tramite email di phishing, un link in un messaggio di chat o un `` incorporato in una pagina compromessa.
3. Il browser della vittima carica la pagina. JavaScript invia automaticamente il modulo, oppure la vittima viene indotta con tecniche di social engineering a fare clic su un falso pulsante "Submit".
4. Il server Issabel riceve una richiesta POST valida con il cookie di sessione dell'amministratore ed elimina il gruppo di utenti preso di mira senza alcuna conferma aggiuntiva o validazione del token.
5. Il gruppo di utenti viene rimosso definitivamente, con potenziale interruzione del routing delle chiamate, dei controlli di accesso e di tutti gli utenti che dipendevano da quel gruppo — causando di fatto una denial of service a livello applicativo.

Prova di concetto (PoC)

Avvertenza: Il seguente PoC è fornito esclusivamente a scopo educativo. Utilizzalo solo in ambienti di laboratorio o su sistemi per i quali disponi di un'autorizzazione esplicita.

Passaggi per la riproduzione

Passaggio 1 — Accedi al pannello di amministrazione di Issabel

Vai alla pagina dell'elenco dei gruppi di utenti e accedi con le credenziali di amministratore.

Passaggio 2 — Cattura la richiesta di eliminazione

Prova a eliminare un gruppo di utenti mentre fai passare il traffico attraverso Burp Suite. Fai clic con il tasto destro sulla richiesta POST catturata e seleziona Engagement Tools → Generate CSRF PoC per generare la struttura HTML dell'exploit.

Passaggio 3 — Ospita la pagina dell'exploit CSRF

Salva l'HTML generato come file (vedi Codice exploit PoC di seguito). Ospitalo su un server controllato dall'attaccante oppure invialo direttamente alla vittima.

Passaggio 4 — La vittima apre la pagina dell'exploit

Quando l'amministratore autenticato apre o viene reindirizzato all'URL dell'exploit, il modulo nascosto viene inviato automaticamente (oppure la vittima fa clic sul pulsante esca). Il gruppo di utenti preso di mira viene eliminato dal pannello di amministrazione.

Codice exploit PoC

Il seguente file HTML (disponibile anche come CSRF exploit.html) dimostra l'attacco. Sostituisci {Issabel IP} con l'host di destinazione e modifica id_user in base all'ID del gruppo che desideri eliminare.

Variante con invio automatico: Per evitare che la vittima debba fare clic su qualsiasi cosa, aggiungi quanto segue all'interno del tag <body> così il modulo viene inviato automaticamente al caricamento della pagina:

root@kitploit:~

<script>document.forms[0].submit();</script>

Impatto

Mitigazione e rimedio

Amministratori e sviluppatori dovrebbero applicare le seguenti difese:

1. Implementare i token CSRF (Synchronizer Token Pattern)

   • Genera un token univoco, imprevedibile, per sessione (o per richiesta) per ogni modulo che modifica lo stato.
   • Valida il token lato server prima di elaborare qualsiasi operazione POST/PUT/DELETE.

2. Impostare l'attributo dei cookie SameSite

   • Imposta i cookie di sessione con SameSite=Lax (minimo) o SameSite=Strict per impedire che le richieste cross-origin trasportino le credenziali di sessione.
   • Esempio di header di risposta: Set-Cookie: PHPSESSID=...; SameSite=Lax; Secure; HttpOnly

3. Validare le intestazioni Origin e Referer

   • Lato server, rifiuta le richieste il cui header Origin o Referer non corrisponde al dominio dell'applicazione.

4. Richiedere la ri-autenticazione per le azioni distruttive

   • Chiedi all'amministratore di confermare la propria password prima di eliminare gruppi o eseguire altre operazioni distruttive.

5. Applicare la difesa in profondità

   • Utilizza una regola del Web Application Firewall (WAF) per bloccare richieste POST cross-origin inattese verso endpoint sensibili.

Cronologia della divulgazione

Riferimenti

• NVD — CVE-2023-37597
• OWASP — Cross-Site Request Forgery (CSRF)
• OWASP CSRF Prevention Cheat Sheet
• CWE-352: Cross-Site Request Forgery (CSRF)
• Issabel Foundation — issabelPBX

Autore

Sahil Ojha Ricercatore di sicurezza

Se hai trovato utile questa ricerca, non esitare a lasciare una ⭐ sul repository.