CVE-2021-46080

Título do Exploit: Vehicle Service Management System - 'Múltiplas' Cross-Site Request Forgery (CSRF) levam a Cross-Site Scripting (XSS) Armazenado

Autor do Exploit: SANU P.L

CVE: CVE-2021-46080

CVSS: 4.8 MÉDIO

Referências:

• https://www.plsanu.com/vehicle-service-management-system-multiple-cross-site-request-forgery-csrf-leads-to-stored-cross-site-scripting-xss
• https://nvd.nist.gov/vuln/detail/CVE-2021-46080
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46080

Descrição:

Existe uma vulnerabilidade de Cross-Site Request Forgery (CSRF) no Vehicle Service Management System 1.0. Um ataque CSRF bem-sucedido leva a uma vulnerabilidade de Cross-Site Scripting (XSS) Armazenado.

1. Vehicle Service Management System - 'Mechanic List' (/admin/?page=mechanics)

Exploit:

1. Acesse o painel de administração http://localhost/vehicle_service/admin
2. Crie duas contas de administrador.
3. Faça login na conta Admin-1 no Navegador A (Chrome)
4. Faça login na conta Admin-2 no Navegador B (Firefox)
5. Na conta Admin-1 (Chrome), navegue até a seção 'Mechanic List' e clique no botão 'Create New'.
6. Injete o payload abaixo no campo de entrada 'Full Name'.

Payload:

 "><script>alert(document.cookie)</script>

7. Clique no botão 'Save'.
8. Capture a solicitação no burpsuite e gere o arquivo HTML de CSRF.
9. Salve o arquivo HTML de CSRF, por exemplo: CSRF.html
10. No Navegador B (Firefox), abra o arquivo CSRF.html.
11. Navegue até a seção 'Mechanic List' no Navegador B (Firefox).
12. O código JavaScript malicioso é acionado.

2. Vehicle Service Management System - 'Service Requests' (/admin/?page=service_requests)

Exploit:

1. Acesse o painel de administração http://localhost/vehicle_service/admin
2. Crie duas contas de administrador.
3. Faça login na conta Admin-1 no Navegador A (Chrome)
4. Faça login na conta Admin-2 no Navegador B (Firefox)
5. Na conta Admin-1 (Chrome), navegue até a seção 'Service Requests' e clique no botão 'Create New'.
6. Injete o payload abaixo no campo de entrada 'Owner Contact'.

Payload:

 "><script>alert(document.cookie)</script>

7. Clique no botão 'Save Request'.
8. Capture a solicitação no burpsuite e gere o arquivo HTML de CSRF.
9. Salve o arquivo HTML de CSRF, por exemplo: CSRF.html
10. No Navegador B (Firefox), abra o arquivo CSRF.html.
11. Navegue até a seção 'Service Requests' no Navegador B (Firefox).
12. Escolha as solicitações de serviço recém-criadas e clique em 'Action' na coluna 'View'.
13. O código JavaScript malicioso é acionado.

3. Vehicle Service Management System - 'Category List' (/admin/?page=maintenance/category)

Exploit:

1. Acesse o painel de administração http://localhost/vehicle_service/admin
2. Crie duas contas de administrador.
3. Faça login na conta Admin-1 no Navegador A (Chrome)
4. Faça login na conta Admin-2 no Navegador B (Firefox)
5. Na conta Admin-1 (Chrome), navegue até a seção 'Category List' e clique no botão 'Create New'.
6. Injete o payload abaixo no campo de entrada 'Category Name'.

Payload:

 "><script>alert(document.cookie)</script>

7. Clique no botão 'Save'.
8. Capture a solicitação no burpsuite e gere o arquivo HTML de CSRF.
9. Salve o arquivo HTML de CSRF, por exemplo: CSRF.html
10. No Navegador B (Firefox), abra o arquivo CSRF.html.
11. Navegue até a seção 'Category List' no Navegador B (Firefox).
12. O código JavaScript malicioso é acionado.

4. Vehicle Service Management System - 'Service List' (/admin/?page=maintenance/services)

Exploit:

1. Acesse o painel de administração http://localhost/vehicle_service/admin
2. Crie duas contas de administrador.
3. Faça login na conta Admin-1 no Navegador A (Chrome)
4. Faça login na conta Admin-2 no Navegador B (Firefox)
5. Na conta Admin-1 (Chrome), navegue até a seção 'Service List' e clique no botão 'Create New'.
6. Injete o payload abaixo no campo de entrada 'Service Name'.

Payload:

 "><script>alert(document.cookie)</script>

7. Clique no botão 'Save'.
8. Capture a solicitação no burpsuite e gere o arquivo HTML de CSRF.
9. Salve o arquivo HTML de CSRF, por exemplo: CSRF.html
10. No Navegador B (Firefox), abra o arquivo CSRF.html.
11. Navegue até a seção 'Service List' no Navegador B (Firefox).
12. O código JavaScript malicioso é acionado.

5. Vehicle Service Management System - 'User List' (/admin/?page=user/list)

Exploit:

1. Acesse o painel de administração http://localhost/vehicle_service/admin
2. Crie duas contas de administrador.
3. Faça login na conta Admin-1 no Navegador A (Chrome)
4. Faça login na conta Admin-2 no Navegador B (Firefox)
5. Na conta Admin-1 (Chrome), navegue até a seção 'User List' e clique no botão 'Create New'.
6. Injete o payload abaixo no campo de entrada 'First Name'.

Payload:

 "><script>alert(document.cookie)</script>

7. Clique no botão 'Save'.
8. Capture a solicitação no burpsuite e gere o arquivo HTML de CSRF.
9. Salve o arquivo HTML de CSRF, por exemplo: CSRF.html
10. No Navegador B (Firefox), abra o arquivo CSRF.html.
11. Navegue até a seção 'User List' no Navegador B (Firefox).
12. O código JavaScript malicioso é acionado.

6. Vehicle Service Management System - 'Settings' (/admin/?page=system_info)

Exploit:

1. Acesse o painel de administração http://localhost/vehicle_service/admin
2. Crie duas contas de administrador.
3. Faça login na conta Admin-1 no Navegador A (Chrome)
4. Faça login na conta Admin-2 no Navegador B (Firefox)
5. Na conta Admin-1 (Chrome), navegue até a seção 'Settings'.
6. Injete o payload abaixo no campo de entrada 'System Name'.

Payload:

 "><script>alert(document.cookie)</script>

7. Clique no botão 'Update'.
8. Capture a solicitação no burpsuite e gere o arquivo HTML de CSRF.
9. Salve o arquivo HTML de CSRF, por exemplo: CSRF.html
10. No Navegador B (Firefox), abra o arquivo CSRF.html.
11. Navegue até a seção 'Settings' no Navegador B (Firefox).
12. O código JavaScript malicioso é acionado.

Impacto:

Existe uma vulnerabilidade de Cross-Site Request Forgery em vários endpoints, que leva a uma vulnerabilidade de Cross-Site Scripting (XSS) Armazenado.

Mitigação:

Recomenda-se implementar o seguinte:

• Imprevisível e com alta entropia, como no caso dos tokens de sessão em geral.
• Vinculado à sessão do usuário.
• Estritamente validado em todos os casos antes que a ação relevante seja executada.