CVE-2021-46075

Nome do Exploit: Vehicle Service Management System - 'Múltipla' Escalação de Privilégios Leva a Operações CRUD

Autor do Exploit: SANU P.L

CVE: CVE-2021-46075

CVSS: 7.2 ALTA

Referências:

• https://www.plsanu.com/vehicle-service-management-system-multiple-privilege-escalation-leads-to-crud-operations
• https://nvd.nist.gov/vuln/detail/CVE-2021-46075
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46075

Descrição:

Existe uma vulnerabilidade de Escalação de Privilégios no Sourcecodester Vehicle Service Management System 1.0. Usuários de contas de funcionários podem acessar os recursos de administrador e realizar operações CRUD.

1. Vehicle Service Management System - 'Lista de Usuários' (/admin/?page=user/list) (/admin/?page=user/manage_user)

Exploit:

1. Acesse o painel administrativo http://localhost/vehicle_service/admin
2. Faça login na conta de Administrador no Navegador A (Chrome)
3. Faça login na conta de Funcionário no Navegador B (Firefox)
4. Na conta de Administrador (Chrome), navegue até a seção Lista de Usuários e clique no botão Criar Novo.
5. Copie o link de Criar Novo Usuário http://localhost/vehicle_service/admin/?page=user/manage_user
6. Na conta de Funcionário (Firefox) não há seção Lista de Usuários, pois a conta de Funcionário não possui direitos para criar um usuário.
7. Cole o link copiado no Navegador B (Firefox)
8. Agora conseguimos acessar a página Criar Usuário.
9. Insira os detalhes necessários e clique no botão Salvar.
10. Na conta de Administrador (Chrome), navegue até a seção Lista de Usuários http://localhost/vehicle_service/admin/?page=user/list
11. O novo usuário foi criado com sucesso.
12. A conta de Funcionário pode acessar a página Lista de Usuários e a página Criar Usuário.
13. A conta de Funcionário pode Criar, Ler, Atualizar e Excluir os usuários.

2. Vehicle Service Management System - 'Lista de Categorias' (/admin/?page=maintenance/category) (/admin/?page=maintenance/manage_category)

Exploit:

1. Acesse o painel administrativo http://localhost/vehicle_service/admin
2. Faça login na conta de Administrador no Navegador A (Chrome)
3. Faça login na conta de Funcionário no Navegador B (Firefox)
4. Na conta de Administrador (Chrome), navegue até a seção Lista de Categorias e clique no botão Criar Novo.
5. Copie o link de Criar Nova Categoria http://localhost/vehicle_service/admin/?page=maintenance/manage_category
6. Na conta de Funcionário (Firefox) não há seção Lista de Categorias, pois a conta de Funcionário não possui direitos para criar uma Categoria.
7. Cole o link copiado no Navegador B (Firefox)
8. Agora conseguimos acessar a página Criar Categoria.
9. Insira os detalhes necessários e clique no botão Salvar.
10. Na conta de Administrador (Chrome), navegue até a seção Lista de Categorias http://localhost/vehicle_service/admin/?page=maintenance/category
11. A nova categoria foi criada com sucesso.
12. A conta de Funcionário pode acessar a página Lista de Categorias e a página Criar Categoria.
13. A conta de Funcionário pode Criar, Ler, Atualizar e Excluir a Categoria.

3. Vehicle Service Management System - 'Lista de Serviços' (/admin/?page=maintenance/services) (/admin/?page=maintenance/manage_service)

Exploit:

1. Acesse o painel administrativo http://localhost/vehicle_service/admin
2. Faça login na conta de Administrador no Navegador A (Chrome)
3. Faça login na conta de Funcionário no Navegador B (Firefox)
4. Na conta de Administrador (Chrome), navegue até a seção Lista de Serviços e clique no botão Criar Novo.
5. Copie o link de Criar Novo Serviço http://localhost/vehicle_service/admin/?page=maintenance/manage_service
6. Na conta de Funcionário (Firefox) não há seção Lista de Serviços, pois a conta de Funcionário não possui direitos para criar um Serviço.
7. Cole o link copiado no Navegador B (Firefox)
8. Agora conseguimos acessar a página Criar Serviço.
9. Insira os detalhes necessários e clique no botão Salvar.
10. Na conta de Administrador (Chrome), navegue até a seção Lista de Serviços http://localhost/vehicle_service/admin/?page=maintenance/services
11. O novo Serviço foi criado com sucesso.
12. A conta de Funcionário pode acessar a página Lista de Serviços e a página Criar Serviço.
13. A conta de Funcionário pode Criar, Ler, Atualizar e Excluir o Serviço.

4. Vehicle Service Management System - 'Configurações' (/admin/?page=system_info)

Exploit:

1. Acesse o painel administrativo http://localhost/vehicle_service/admin
2. Faça login na conta de Administrador no Navegador A (Chrome)
3. Faça login na conta de Funcionário no Navegador B (Firefox)
4. Na conta de Administrador (Chrome), navegue até a seção Configurações.
5. Copie o link da seção Configurações http://localhost/vehicle_service/admin/?page=system_info
6. Na conta de Funcionário (Firefox) não há seção Configurações, pois a conta de Funcionário não possui direitos para acessar as Configurações.
7. Cole o link copiado no Navegador B (Firefox)
8. Agora conseguimos acessar a página Configurações.
9. Insira os detalhes necessários e clique no botão Salvar.
10. Na conta de Administrador (Chrome), navegue até a seção Configurações http://localhost/vehicle_service/admin/?page=system_info
11. Os detalhes foram atualizados com sucesso.
12. A conta de Funcionário pode acessar a página Configurações.
13. A conta de Funcionário pode Atualizar as Configurações.

Impacto:

Um atacante remoto obtém acesso elevado a recursos que normalmente deveriam estar indisponíveis. Usuários de contas de funcionários podem acessar os recursos de administrador e realizar operações CRUD.

Mitigação:

Recomenda-se implementar o seguinte:

• Gerenciamento adequado de contas com privilégios
• Monitorar e gerenciar todas as sessões privilegiadas
• Políticas de senha fortes e sua aplicação
• Sanitizar as entradas do usuário e proteger os bancos de dados