NVD の説明:

TripSpark VEO Transportation-2.2.x-XP_BB-20201123-184084 NovusEDU-2.2.x-XP_BB-20201123-184084 は、サーバーサイドロジックによるサニタイズを行わずに、エンドユーザーからの POST ボディパラメータで安全でないデータ入力を許可します。「Student Busing Information」検索クエリにカスタム SQL コマンドを注入することが可能でした。

技術的詳細

公開されている攻撃対象

学区は「Student Busing Information」ページを一般公開ウェブサイトに展開し、保護者が生徒のバス割り当てを確認できるようにしています。このページは生徒の N 番号と生年月日を要求し、意図的に認証なしで公開されています。

N 番号フィールドは editOEN として POST されます。生年月日は cboxMonth、cboxDay、cboxYear として POST されます。editOEN がインジェクション可能なパラメータです。

ブラインドインジェクション

この時代の多くの ASP.NET アプリケーションとは異なり、このページはデータベースエラーをエコーバックしません。正常なクエリと破損したクエリの間に目に見える違いはないため、インバンド手法は行き詰まります。

スタッククエリは実行されます。それだけで十分です。

xp_dirtree によるアウトオブバンド悪用

master.dbo.xp_dirtree はディレクトリを列挙します。UNC パスが与えられると、SQL Server は読み取り前に SMB 経由でターゲットホストに認証します。これをリスナーに向けることで、無音のインジェクションを可視化できます:

リクエストは通常の ASP.NET WebForms POST で、約 4,700 バイト、そのほとんどが __VIEWSTATE です。完全なリクエストは poc/exploited-request.http に、ペイロードは poc/payloads.sql にあります。

キャプチャされた認証

Impacket の smbserver.py を公開インターネット上のホストで待機させると、学区ネットワーク内のデータベースサーバーが外向きに認証します:

明確に言及する価値のある点が 2 つあります。第一に、これは認証なしのインターネット公開フォームが本番データベースに到達していることです。第二に、そのデータベースサーバーは任意のインターネットホストへの外向き SMB 接続を許可されており、それがブラインドインジェクションを観測可能にしたのです。

影響

インジェクション自体に加えて、キャプチャされた SQL Server サービスアカウントの NTLMv2 資格情報は、元のエンゲージメントにおける最初の足掛かりでした。そこから評価はクライアントの Active Directory ドメインとフォレストの完全な侵害へとエスカレーションしました。

リスクにさらされるデータは生徒の交通記録です: 氏名、自宅住所、割り当てられたバス、割り当てられた停留所、乗車時間、特別教育のルーティング。これは、特定可能な児童が既知の時間に物理的にどこにいるかというスケジュールです。

再現方法

所有している、またはテストを許可されたラボインスタンスに対して:

1. 「Student Busing Information」ページを読み込みます。
2. ターゲットが到達可能なホストでリスナーを起動します:
   root@kitploit:~

   sudo smbserver.py c . -smb2support
   

3. N 番号フィールドに poc/payloads.sql の xp_dirtree ペイロードを、自分の IP に置き換えて送信します。フィールドにクライアントサイドの長さ制限がある場合は、ブラウザで入力するのではなく POST をキャプチャしてリプレイしてください。その制限はサーバーサイドには存在しないためです。
4. 脆弱なビルドでは、SQL Server サービスアカウントからのインバウンド SMB 認証が発生します。HTTP レスポンスには変化はありません。
5. インバウンド SMB を受信できない場合も、時間ベースの確認が有効です:
   root@kitploit:~

   123'; waitfor delay '0:0:10';--
   

リポジトリの内容

キャプチャ内のクライアント識別子は伏せ字にされています。リスナーアドレスは元のエンゲージメントのものであり、とっくに無効です。再現する際は自分のものに置き換えてください。

修正方法

1. パラメータ化クエリ。 editOEN をパラメータとしてバインドすれば、ペイロードは中身が何であれ不活性な文字列になります。
2. サーバーサイド検証。 生徒番号は短く数値のみです。フォームではなくサーバーでそれを強制してください。
3. データベースアカウントの最小権限。 公開参照ページの背後にあるアカウントは、バス割り当ての読み取りのみが必要です。xp_dirtree およびその他の拡張ストアドプロシージャへのアクセスを revoked してください。
4. イグレスフィルタリング。 学区のデータベースサーバーがインターネットへの SMB 接続を開く理由はありません。外向き 445 をブロックすることでアウトオブバンドチャネルが除去されます。
5. 公開フォームと記録システムの分離。 保護者が使用するページは、特別教育ルーティングも保持する本番データベースではなく、制限されたレプリカをクエリするべきです。

タイムライン

解説記事

• 個人のアカウント: https://sedriclouissaint.com/blog/tripspark-veo-sql-injection-cve-2021-3262/
• Show Up Show Out Security: https://susos.co/blog/sqlspark-sql-injection-in-tripspark-veo-transport-cve-2021-3262

免責事項

開示後に、防御および教育目的で公開されています。所有していない、または書面によるテスト許可を得ていないシステムに対してこれらのペイロードを実行しないでください。学区の展開を管理している場合、ここで有効な行動は、公開フォームの背後にあるクエリがパラメータ化されているかどうかをベンダーに書面で尋ねることです。