CVE-2021-46075

Titolo dell'exploit: Vehicle Service Management System - 'Multiple' Privilege Escalation Leads to CRUD Operations

Autore dell'exploit: SANU P.L

CVE: CVE-2021-46075

CVSS: 7.2 HIGH

Riferimenti:

• https://www.plsanu.com/vehicle-service-management-system-multiple-privilege-escalation-leads-to-crud-operations
• https://nvd.nist.gov/vuln/detail/CVE-2021-46075
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46075

Descrizione:

Esiste una vulnerabilità di Privilege Escalation in Sourcecodester Vehicle Service Management System 1.0. Gli utenti con account Staff possono accedere alle risorse dell'amministratore ed eseguire operazioni CRUD.

1. Vehicle Service Management System - 'User List' (/admin/?page=user/list) (/admin/?page=user/manage_user)

Exploit:

1. Visita il pannello di amministrazione http://localhost/vehicle_service/admin
2. Accedi con l'account Admin nel Browser A (Chrome)
3. Accedi con l'account Staff nel Browser B (Firefox)
4. Nell'account Admin (Chrome) vai alla sezione User List e clicca sul pulsante Create New.
5. Copia il link di Create New User http://localhost/vehicle_service/admin/?page=user/manage_user
6. Nell'account Staff (Firefox) non è presente la sezione User List perché l'account Staff non ha i diritti per creare un utente.
7. Incolla il link copiato nel Browser B (Firefox)
8. Ora siamo in grado di accedere alla pagina Create User.
9. Inserisci i dettagli richiesti e clicca sul pulsante Save.
10. Nell'account Admin (Chrome) vai alla sezione User List http://localhost/vehicle_service/admin/?page=user/list
11. Il nuovo utente è stato creato con successo.
12. L'account Staff può accedere alla pagina User List e alla pagina Create User.
13. L'account Staff può creare, leggere, aggiornare ed eliminare gli utenti.

2. Vehicle Service Management System - 'Category List' (/admin/?page=maintenance/category) (/admin/?page=maintenance/manage_category)

Exploit:

1. Visita il pannello di amministrazione http://localhost/vehicle_service/admin
2. Accedi con l'account Admin nel Browser A (Chrome)
3. Accedi con l'account Staff nel Browser B (Firefox)
4. Nell'account Admin (Chrome) vai alla sezione Category List e clicca sul pulsante Create New.
5. Copia il link di Create New Category http://localhost/vehicle_service/admin/?page=maintenance/manage_category
6. Nell'account Staff (Firefox) non è presente la sezione Category List perché l'account Staff non ha i diritti per creare una Categoria.
7. Incolla il link copiato nel Browser B (Firefox)
8. Ora siamo in grado di accedere alla pagina Create Category.
9. Inserisci i dettagli richiesti e clicca sul pulsante Save.
10. Nell'account Admin (Chrome) vai alla sezione Category List http://localhost/vehicle_service/admin/?page=maintenance/category
11. La nuova categoria è stata creata con successo.
12. L'account Staff può accedere alla pagina Category List e alla pagina Create Category.
13. L'account Staff può creare, leggere, aggiornare ed eliminare la Categoria.

3. Vehicle Service Management System - 'Service List' (/admin/?page=maintenance/services) (/admin/?page=maintenance/manage_service)

Exploit:

1. Visita il pannello di amministrazione http://localhost/vehicle_service/admin
2. Accedi con l'account Admin nel Browser A (Chrome)
3. Accedi con l'account Staff nel Browser B (Firefox)
4. Nell'account Admin (Chrome) vai alla sezione Service List e clicca sul pulsante Create New.
5. Copia il link di Create New Service http://localhost/vehicle_service/admin/?page=maintenance/manage_service
6. Nell'account Staff (Firefox) non è presente la sezione Service List perché l'account Staff non ha i diritti per creare un Servizio.
7. Incolla il link copiato nel Browser B (Firefox)
8. Ora siamo in grado di accedere alla pagina Create Service.
9. Inserisci i dettagli richiesti e clicca sul pulsante Save.
10. Nell'account Admin (Chrome) vai alla sezione Service List http://localhost/vehicle_service/admin/?page=maintenance/services
11. Il nuovo servizio è stato creato con successo.
12. L'account Staff può accedere alla pagina Service List e alla pagina Create Service.
13. L'account Staff può creare, leggere, aggiornare ed eliminare il Servizio.

4. Vehicle Service Management System - 'Settings' (/admin/?page=system_info)

Exploit:

1. Visita il pannello di amministrazione http://localhost/vehicle_service/admin
2. Accedi con l'account Admin nel Browser A (Chrome)
3. Accedi con l'account Staff nel Browser B (Firefox)
4. Nell'account Admin (Chrome) vai alla sezione Settings.
5. Copia il link della sezione Settings http://localhost/vehicle_service/admin/?page=system_info
6. Nell'account Staff (Firefox) non è presente la sezione Settings perché l'account Staff non ha i diritti per accedere alle Impostazioni.
7. Incolla il link copiato nel Browser B (Firefox)
8. Ora siamo in grado di accedere alla pagina Settings.
9. Inserisci i dettagli richiesti e clicca sul pulsante Save.
10. Nell'account Admin (Chrome) vai alla sezione Settings http://localhost/vehicle_service/admin/?page=system_info
11. I dettagli sono stati aggiornati con successo.
12. L'account Staff può accedere alla pagina Settings.
13. L'account Staff può aggiornare le Impostazioni.

Impatto:

Un attaccante remoto ottiene un accesso elevato a risorse che normalmente dovrebbero essere non disponibili. Con un account Staff, gli utenti possono accedere alle risorse dell'amministratore ed eseguire operazioni CRUD.

Mitigazione:

Si raccomanda di implementare quanto segue:

• Corretta gestione degli account privilegiati
• Monitorare e gestire tutte le sessioni privilegiate
• Criteri per password complesse e relativa applicazione
• Sanificare gli input degli utenti e proteggere i database