abraxas/phpmyadmin-csrf-sqlphpMyAdmin 5.2.3 — высокий — удалённый — CSRF — удаление токена на /sql
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · phpmyadmin-csrf-sql
Разбор: https://abraxaslabs.tech/research/phpmyadmin-csrf-sql
Класс: CSRF Доступ: Удалённый
phpMyAdmin 5.2.3 (тег RELEASE_5_2_3, коммит 962857e). Common.php собирает PSR-7 запрос из глобальных переменных до вызова checkTokenRequestParam. При несовпадении Sanitize::removeRequestVars очищает $_POST и $_GET, но не этот снимок. Затем $sql_query копируется из $request->getParsedBodyParam('sql_query'). AJAX POST-запросы прерываются при несовпадении токена. Не-AJAX POST-запросы продолжаются. SqlController предпочитает очищенный $_POST['sql_query'], а иначе сохраняет глобальную переменную.
Достаточно жертвы с сессионной cookie phpMyAdmin. Отправьте POST на index.php?route=/sql с sql_query и без валидного токена, а также без ajax_request. SELECT выполнится от имени этого пользователя MySQL. Значение по умолчанию CookieSameSite=Strict в 5.2.3 блокирует многие кросс-сайтовые браузеры. Same-site, Lax, None или HTTP-аутентификация всё равно срабатывают. В любом случае это сломанная защита от CSRF.
| ID | CVE пока нет |
| Класс | CSRF |
| Доступ | Удалённый. Значение по умолчанию CookieSameSite=Strict блокирует многие кросс-сайтовые браузеры. Same-site / Lax / None / HTTP-аутентификация остаются. |
| CWE | CWE-352 |
| CVSS | Высокий: 8.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N |
| Продукт | phpMyAdmin |
| Затронуто | 5.2.3 тег RELEASE_5_2_3 (962857e) |
| Аутентификация | Сессионная cookie жертвы phpMyAdmin (или HTTP-аутентификация). Без валидного CSRF-токена. |
| Лицензия | GNU Affero GPL v3.0 |
| Лаборатория | только 127.0.0.1:19240 |
Любой, кто может заставить браузер жертвы отправить POST в phpMyAdmin без ajax_request, может выполнить SQL от имени этого пользователя MySQL.
| Привилегия | Метод / путь | Доказано в лаборатории или выведено |
|---|---|---|
| Выполнить SQL атакующего от имени учётной записи MySQL жертвы (целостность + разведка этого SQL-хоста) | POST index.php?route=/sql sql_query=... db=... без token, без ajax_request | Доказано в лаборатории. Тело ответа содержало PMA-CSRF-SQL-WITNESS. General log показал SELECT от имени appuser |
| Прервать тот же обработчик при AJAX | Тот же POST с ajax_request=1 | Доказано в лаборатории. Token mismatch. Строка-маркер INSERT отсутствует. General log не выполнил этот INSERT |
Обойти обработчики, которые читают только очищенный $_POST | POST /database/structure/drop-table без токена | Доказано в лаборатории. keepme всё ещё присутствует |
Та же брешь при экспорте (SaveDir), DROP/TRUNCATE партиций, блокировке учётной записи, /config/set, создании pmadb | Любой обработчик, читающий тело PSR-7 после очистки | Выведено. Не проверялось |
Закрыто в этой лаборатории: неаутентифицированный PMA (сначала требуется вход по cookie), AJAX-маршруты (они завершаются при несовпадении), drop-table без токена, OS shell. Значение по умолчанию Strict SameSite означает, что классическая кросс-сайтовая форма часто не отправит cookie; оставшийся случай всё равно является проваленной проверкой CSRF при same-site и при развёртываниях с Lax/None.
Восемь параллельных поисков по исходникам RELEASE_5_2_3. Common.php создаёт $request = createFromGlobals() до checkTokenRequestParam(). При несовпадении Sanitize::removeRequestVars() очищает только $_POST/$_GET. Не-AJAX продолжается. SqlController использует глобальную $sql_query, если $_POST пуст. Маршрут GET|POST /sql.
Ошибочные направления: считать AJAX /sql остатком (он прерывается из-за несовпадения токена); считать drop-table остатком (этот обработчик только читает очищенный $_POST); считать Strict SameSite по умолчанию за «CSRF закрыт» (защита по-прежнему сломана; same-site / Lax / None остаются).
python3 phpmyadmin-csrf-sql-Abraxas-Labs.py
или
cd lab
./run.sh
Только loopback: http://127.0.0.1:19240. Образы phpmyadmin:5.2.3 и mysql:8.0. Compose-проект phpmyadmin-csrf-sql. PoC представляет собой same-site loopback POST (Strict SameSite всё равно отправляет cookie). Свидетель PMA-CSRF-SQL-WITNESS.
SUCCESS phpmyadmin-csrf-sql sql-ran=yes ajax-abort=yes drop-held=yes PMA-CSRF-SQL-WITNESS
При несовпадении замените запрос на пустое тело или отклоните все POST-запросы, а не только AJAX. Не копируйте sql_query из устаревшего запроса. Завершайте с отказом, как при выходе из системы.
962857e)libraries/classes/Common.php снимок запроса до удаления токенаSanitize::removeRequestVars очищает только $_POST/$_GETSqlController глобальная $sql_queryGNU Affero GPL v3.0. См. LICENSE. Только для лаборатории на loopback. Без гарантий.