CVE-2022-43959

Bitrix 漏洞 CVE-2022-43959

描述

1C-Bitrix Bitrix24 的 AD/LDAP 连接器模块（版本 23.100.0 之前）中，AD/LDAP 服务器设置内的凭据保护不足，允许远程管理员通过读取 /bitrix/admin/ldap_server_edit.php 的源代码发现 AD/LDAP 管理密码。

CVSS

复现步骤：

1. 获取 Bitrix24 管理面板的访问权限。
2. 在“管理”部分中进入 AD/LDAP 设置项。
3. 从服务器列表中选择 AD/LDAP 服务器设置。
4. 进入“服务器”选项卡。
5. 确认具有 AD/LDAP 服务器树读取权限的用户的密码在“密码”行中被遮盖显示。

6. 使用浏览器开发者工具查看 bitrix/admin/ldap_server_edit.php 页面的源代码。
7. 确认具有 AD/LDAP 服务器树读取权限的用户的密码在源代码中以明文形式显示。

参考

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-43959

https://www.bitrix24.com/prices/self-hosted.php

https://www.bitrix24.com/security/

https://www.bitrix24.com/features/box/box-versions.php?module=ldap

作者

Sergey Avdeev, Dmitry Lymbin (@lymbin) 于 Secware