CVE-2024-56924

취약점 설명

code astro Internet Banking System 버전 2.0.0에 CSRF(Cross-Site Request Forgery) 취약점이 존재합니다. 이 취약점으로 인해 원격 공격자는 인증된 사용자(예: 관리자)의 동의 없이 해당 사용자를 대신하여 승인되지 않은 작업을 수행할 수 있습니다. 공격자는 악성 HTML 페이지를 제작하여 인증된 사용자(예: 관리자)를 속여 대상 시스템에서 민감한 계정 세부 정보(예: 이름, 이메일)를 수정하는 요청을 제출하도록 할 수 있습니다. 이 취약점은 계정 수정 페이지(예: pages_account.php)에 CSRF 보호가 부족하여 발생하며, 공격자가 보안 메커니즘을 우회하고 사용자를 대신해 승인되지 않은 작업을 실행할 수 있게 합니다.

영향을 받는 버전

2.0.0

연구자

Pratheep M

개념 증명

단계별 절차

참고를 위해 아래에 비디오 PoC를 추가했습니다.

STEP 1: 관리자 포털을 클릭하고 기본 자격 증명을 사용하여 로그인합니다.

STEP 2: 계정 섹션으로 이동하고 Burp Suite를 사용하여 요청을 가로챕니다.

STEP 3: 업데이트 버튼을 클릭하고 요청을 캡처합니다. 그런 다음 패널을 마우스 오른쪽 버튼으로 클릭하고 Engagement Tools → Generate CSRF PoC로 이동합니다.

STEP 4: 이름 및 이메일 필드를 업데이트하도록 요청을 수정하고 Test in Browser를 클릭합니다.

STEP 5: PoC를 브라우저에 붙여넣으면 이름과 이메일이 성공적으로 변경된 것을 확인할 수 있습니다.

비디오 PoC