説明

Issabel PBX バージョン 4.0.0-6 には、格納型クロスサイトスクリプティング (XSS) の脆弱性が存在します。このアプリケーションは、ユーザーが入力したデータをデータベースに保存し、後でブラウザにレンダリングする際に、適切にサニタイズまたはエンコード処理を行っていません。これにより、認証された攻撃者が システム → ユーザー → グループ にある グループ および 説明 入力フィールドを介して、任意の JavaScript または HTML コードを注入できるようになります。

悪意のあるペイロードが保存されると、サーバー上に永続的に保持されます。その後、管理者を含むすべてのユーザーが影響を受けるページにアクセスするたびに、攻撃者による追加操作を必要とせずに、注入されたスクリプトが自動的にブラウザセッション内で実行されます。これが、格納型 (永続的) XSS を反射型 XSS と区別する点です。ペイロードがページのすべての訪問者に影響を与えるため、影響範囲はより広く、より危険です。

脆弱性の詳細

• コンポーネント: Issabel PBX Web インターフェースの システム → ユーザー → グループ モジュール
• 脆弱なパラメータ: Group (名前フィールド) および Description (テキストフィールド)
• 攻撃ベクトル: ネットワーク
• 攻撃の複雑さ: 低
• 必要な権限: 低 (認証されたユーザー)
• ユーザーの操作: 必要 (被害者が注入されたページにアクセスする必要がある)
• スコープ: 変更あり (スクリプトは被害者のブラウザコンテキストで実行)

影響

この脆弱性の悪用に成功すると、攻撃者は以下のことが可能になります:

• セッションハイジャック: 認証済みセッションクッキーを盗み、ユーザーのパスワードを知らなくてもアカウントを乗っ取る。
• 認証情報の収集: 偽のログインフォームを注入したり、フィッシングページにリダイレクトして認証情報を取得する。
• 永続的な改ざん: すべてのユーザーに対してアプリケーションの外観を恒久的に変更する。
• 悪意のあるリダイレクト: 被害者を攻撃者が管理するマルウェアやフィッシングコンテンツをホストするドメインに静かにリダイレクトする。
• キーロギング: 影響を受けるページ上で被害者が入力したキーストロークを取得する。
• 不正操作: 被害者のセッション権限を利用して、被害者に代わって操作を実行する (例: バックドア管理者アカウントの作成、システム設定の変更)。

ペイロードが サーバー上に保存 されるため、侵害されたページにアクセスするすべてのユーザーが影響を受け、反射型 XSS 攻撃と比較して被害が拡大します。

概念実証 (PoC)

前提条件

• Issabel PBX 4.0.0-6 インスタンスへのアクセス
• ユーザー/グループを管理する権限のあるアカウント (例: 管理者認証情報)

再現手順

ステップ 1: 管理者認証情報を使用して Issabel PBX Web インターフェースにログインします。

ステップ 2: システム → ユーザー → グループ に移動します。グループ および/または 説明 入力フィールドに、以下の XSS ペイロードを入力します:

フィールドは以下のスクリーンショットのようになります:

ステップ 3: 保存 をクリックします。ペイロードがアプリケーションのデータベースに永続的に保存されます。

ステップ 4: システム → ユーザー → グループ ページに戻るか (または他のユーザーにそのページにアクセスさせます)、注入されたスクリプトがブラウザで自動的に実行されます。以下の画像を参照:

修正方法

この脆弱性を軽減するために、Issabel PBX 開発チームは以下の修正を適用する必要があります:

1. 入力検証: すべてのユーザー入力をサーバーサイドで厳密に検証します。HTML フォーマットを必要としないフィールドでは、HTML 特殊文字 (<, >, ", ', &) を含む値を拒否またはサニタイズします。

2. 出力エンコーディング: 保存されたデータをブラウザにレンダリングする際に、コンテキストに応じた出力エンコーディング (例: HTML エンティティエンコーディング) を適用して、注入されたマークアップを無害化します。Issabel PBX は PHP ベースであるため、カスタムフィルタリングではなく、PHP 組み込みの htmlspecialchars() または htmlentities() 関数を使用します。

3. コンテンツセキュリティポリシー (CSP): スクリプトの実行元を制限するために、厳格な Content Security Policy HTTP ヘッダーを実装します。適切に設定された CSP は、入力のサニタイズが回避された場合でも、注入されたスクリプトの実行を防止できます。

4. 定期的なセキュリティ監査: アプリケーション全体のインジェクション脆弱性を特定して修正するために、定期的なコードレビューとペネトレーションテストを実施します。

参考情報

• NVD — CVE-2023-37191
• OWASP — クロスサイトスクリプティング (XSS)
• OWASP — XSS 防止策チートシート
• Issabel Foundation — issabelPBX on GitHub

免責事項

この情報は 教育および研究目的 でのみ提供されています。著者はこの情報の誤用について一切の責任を負いません。所有していないシステムで脆弱性をテストする前に、必ず適切な書面による許可を取得してください。