セキュリティ侵害プロジェクト - クロスサイトリクエストフォージェリ

Dolibarr 7.0.0 は、クロスサイトリクエストフォージェリ (CSRF) の影響を受けます。影響: 悪意のあるHTMLにより、ユーザーパスワードの変更、ユーザーの無効化、パスワード暗号化の無効化が可能になります。対象コンポーネント: ユーザーパスワード変更機能、ユーザー無効化機能、パスワード暗号化機能。攻撃ベクトル: 管理者が悪意のあるURLにアクセスすること。

デモンストレーション

デモンストレーションの手順

-起動: 'vagrant up' を実行して環境をダウンロードします (当然時間がかかります: 最大で数時間 - vagrant だから仕方ない ¯_(ツ)_/¯)。

-環境の準備ができたら、devディレクトリから次のコマンドを実行してください:

rm index.html
mv backup_index.html index.html

-起動

vagrant ssh

-レポートの残りの手順に従ってください

参考情報

-レポートはフランス語で書かれており、この種の侵害を制限するための対策について説明しています。また、侵害の詳細な分析と、侵害を再現するために行うべきことの詳細な手順も記載されています。