CVE-2021-46075

Название эксплойта: Vehicle Service Management System - множественное повышение привилегий, ведущее к CRUD-операциям

Автор эксплойта: SANU P.L

CVE: CVE-2021-46075

CVSS: 7.2 HIGH

Ссылки:

• https://www.plsanu.com/vehicle-service-management-system-multiple-privilege-escalation-leads-to-crud-operations
• https://nvd.nist.gov/vuln/detail/CVE-2021-46075
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-46075

Описание:

В Sourcecodester Vehicle Service Management System 1.0 существует уязвимость повышения привилегий. Учётные записи сотрудников могут получить доступ к ресурсам администратора и выполнять CRUD-операции.

1. Vehicle Service Management System - 'User List' (/admin/?page=user/list) (/admin/?page=user/manage_user)

Эксплойт:

1. Зайдите в панель администратора http://localhost/vehicle_service/admin
2. Войдите в учётную запись администратора в браузере A (Chrome)
3. Войдите в учётную запись сотрудника в браузере B (Firefox)
4. В учётной записи администратора (Chrome) перейдите в раздел User List и нажмите кнопку Create New.
5. Скопируйте ссылку на создание нового пользователя http://localhost/vehicle_service/admin/?page=user/manage_user
6. В учётной записи сотрудника (Firefox) нет раздела User List, так как учётная запись сотрудника не имеет прав на создание пользователя.
7. Вставьте скопированную ссылку в браузер B (Firefox)
8. Теперь мы можем получить доступ к странице создания пользователя.
9. Введите необходимые данные и нажмите кнопку Save.
10. В учётной записи администратора (Chrome) перейдите в раздел User List http://localhost/vehicle_service/admin/?page=user/list
11. Новый пользователь был успешно создан.
12. Учётная запись сотрудника может получить доступ к странице User List и странице Create User.
13. Учётная запись сотрудника может создавать, читать, обновлять и удалять пользователей.

2. Vehicle Service Management System - 'Category List' (/admin/?page=maintenance/category) (/admin/?page=maintenance/manage_category)

Эксплойт:

1. Зайдите в панель администратора http://localhost/vehicle_service/admin
2. Войдите в учётную запись администратора в браузере A (Chrome)
3. Войдите в учётную запись сотрудника в браузере B (Firefox)
4. В учётной записи администратора (Chrome) перейдите в раздел Category List и нажмите кнопку Create New.
5. Скопируйте ссылку на создание новой категории http://localhost/vehicle_service/admin/?page=maintenance/manage_category
6. В учётной записи сотрудника (Firefox) нет раздела Category List, так как учётная запись сотрудника не имеет прав на создание категории.
7. Вставьте скопированную ссылку в браузер B (Firefox)
8. Теперь мы можем получить доступ к странице создания категории.
9. Введите необходимые данные и нажмите кнопку Save.
10. В учётной записи администратора (Chrome) перейдите в раздел Category List http://localhost/vehicle_service/admin/?page=maintenance/category
11. Новая категория была успешно создана.
12. Учётная запись сотрудника может получить доступ к странице Category List и странице Create Category.
13. Учётная запись сотрудника может создавать, читать, обновлять и удалять категории.

3. Vehicle Service Management System - 'Service List' (/admin/?page=maintenance/services) (/admin/?page=maintenance/manage_service)

Эксплойт:

1. Зайдите в панель администратора http://localhost/vehicle_service/admin
2. Войдите в учётную запись администратора в браузере A (Chrome)
3. Войдите в учётную запись сотрудника в браузере B (Firefox)
4. В учётной записи администратора (Chrome) перейдите в раздел Service List и нажмите кнопку Create New.
5. Скопируйте ссылку на создание новой услуги http://localhost/vehicle_service/admin/?page=maintenance/manage_service
6. В учётной записи сотрудника (Firefox) нет раздела Service List, так как учётная запись сотрудника не имеет прав на создание услуги.
7. Вставьте скопированную ссылку в браузер B (Firefox)
8. Теперь мы можем получить доступ к странице создания услуги.
9. Введите необходимые данные и нажмите кнопку Save.
10. В учётной записи администратора (Chrome) перейдите в раздел Service List http://localhost/vehicle_service/admin/?page=maintenance/services
11. Новая услуга была успешно создана.
12. Учётная запись сотрудника может получить доступ к странице Service List и странице Create Service.
13. Учётная запись сотрудника может создавать, читать, обновлять и удалять услуги.

4. Vehicle Service Management System - 'Settings' (/admin/?page=system_info)

Эксплойт:

1. Зайдите в панель администратора http://localhost/vehicle_service/admin
2. Войдите в учётную запись администратора в браузере A (Chrome)
3. Войдите в учётную запись сотрудника в браузере B (Firefox)
4. В учётной записи администратора (Chrome) перейдите в раздел Settings.
5. Скопируйте ссылку на раздел Settings http://localhost/vehicle_service/admin/?page=system_info
6. В учётной записи сотрудника (Firefox) нет раздела Settings, так как учётная запись сотрудника не имеет прав на доступ к настройкам.
7. Вставьте скопированную ссылку в браузер B (Firefox)
8. Теперь мы можем получить доступ к странице Settings.
9. Введите необходимые данные и нажмите кнопку Save.
10. В учётной записи администратора (Chrome) перейдите в раздел Settings http://localhost/vehicle_service/admin/?page=system_info
11. Данные были успешно обновлены.
12. Учётная запись сотрудника может получить доступ к странице Settings.
13. Учётная запись сотрудника может обновлять настройки.

Последствия:

Удалённый злоумышленник получает повышенный доступ к ресурсам, которые обычно должны быть недоступны. Учётные записи сотрудников могут получить доступ к ресурсам администратора и выполнять CRUD-операции.

Меры по смягчению:

Рекомендуется реализовать следующее:

• Надлежащее управление привилегированными учётными записями
• Мониторинг и управление всеми привилегированными сеансами
• Политики и принуждение к использованию надёжных паролей
• Очистка пользовательских вводов и защита баз данных