CVE-2017-1000046

Wielokrotne podatności typu cross-site request forgery (CSRF) w Mautic 1.4.1 umożliwiają zdalnym atakującym przejęcie uwierzytelnienia użytkowników dla żądań, które mogą (1) usuwać kampanie e-mailowe lub (2) usuwać kontakty.

W funkcji importu kampanii Mautic 7 istnieje luka umożliwiająca nieograniczone przesyłanie plików. Aplikacja kopiuje dołączone pliki zasobów do publicznie dostępnego katalogu mediów bez ograniczeń nazw i typów plików. Uwierzytelniony użytkownik z uprawnieniem do tworzenia importów kampanii może umieścić dowolne pliki, w tym skrypty serwerowe, w katalogu głównym serwera WWW, co na serwerach Apache prowadzi do zdalnego wykonania kodu.

W funkcji importu kampanii w Mautic 7 wykryto podatność na path traversal. Podczas rozpakowywania przesłanych plików ZIP w ramach importu kampanii, błąd w logice walidacji umożliwia wyjście ścieżek plików poza zamierzone katalogi tymczasowe. Uwierzytelniony użytkownik z uprawnieniami do importu kampanii może zapisać dowolne pliki PHP do wrażliwych katalogów systemowych, co prowadzi do zdalnego wykonania kodu (RCE) w kontekście użytkownika serwera WWW.

W silniku motywów Mautic wykryto podatność na wstrzykiwanie szablonów po stronie serwera (SSTI). Platforma renderuje przesłane szablony Twig bez piaskownicy lub ścisłych ograniczeń funkcji, co pozwala uwierzytelnionym użytkownikom z uprawnieniami do tworzenia lub przesyłania motywów na zdalne wykonanie kodu (RCE) oraz dostęp do zastrzeżonych plików systemowych i konfiguracji.

W publicznym punkcie końcowym przesyłania formularzy (/form/submit) Mautic istnieje podatność na otwarte przekierowanie. Po przesłaniu formularza aplikacja przekierowuje odwiedzającego na adres zwrotny dostarczony wraz z przesłaniem, bez weryfikacji, czy wskazuje on na instancję Mautic lub inny zaufany host. Nieuwierzytelniony atakujący może to wykorzystać, aby wysłać odwiedzających z legalnej domeny Mautic na dowolną zewnętrzną stronę internetową, na przykład na strony phishingowe imitujące oryginalną stronę docelową lub na strony dostarczające złośliwe oprogramowanie. Dotyczy to każdej instancji Mautic z opublikowanym formularzem. Wykorzystanie wymaga, aby ofiara przesłała formularz przygotowany przez atakującego.

W API statystyk Mautic (/api/stats/{table}) istnieje podatność na złamanie kontroli dostępu. Punkt końcowy nie wymuszał uprawnień dla kilku wewnętrznych tabel: zamierzona restrykcja tylko dla administratora nigdy nie została zastosowana, a tabele bez jawnego mapowania uprawnień były domyślnie czytelne. W rezultacie każdy uwierzytelniony użytkownik API, w tym taki, którego rola nie przyznaje żadnych uprawnień, mógł odczytać dane z tych tabel, w tym dziennik audytu aplikacji z akcjami wykonywanymi przez wszystkich użytkowników i szczegółami zmian, które mogą zawierać dane osobowe kontaktów, przechowywane adresy IP odwiedzających i ich dane geolokalizacyjne oraz śledzone adresy URL przekierowań i ich mapowania kanałów.

W API zasobów Mautic istnieje podatność na path traversal. Podczas tworzenia lokalnego zasobu przez API dostarczona ścieżka pliku nie jest ograniczona do katalogu przesyłania zasobów. Uwierzytelniony użytkownik API z uprawnieniem do tworzenia zasobów może zarejestrować dowolny plik czytelny dla procesu serwera WWW jako zasób Mautic. Po opublikowaniu zasobu jego publiczny adres URL do pobrania udostępnia zawartość tego pliku bez uwierzytelnienia. Pozwala to atakującemu na odczyt dowolnych plików z serwera, w tym plików konfiguracyjnych Mautic zawierających hasło do bazy danych, klucz tajny i dane uwierzytelniające poczty (SMTP), a także plików systemowych i wszelkich innych plików czytelnych dla użytkownika serwera WWW. Ujawnione dane uwierzytelniające mogą być użyte do dostępu do bazy danych lub innych połączonych usług, a każdy, kto zna publiczny adres URL zasobu, może pobrać zawartość pliku.

W widoku szczegółów kontaktu Mautic 7 występuje podatność typu stored XSS — wartości pól niestandardowych typu HTML są renderowane bez sanityzacji wyjścia. Użytkownik lub integracja mogąca zapisać wartość w takim polu może umieścić w nim payload skryptu, który wykona się w sesji przeglądarki innego użytkownika, w tym administratora, otwierającego stronę kontaktu.

W endpointcie API danych widgetów dashboardu Mautic (/api/data/{type}) występuje podatność na wstrzyknięcie SQL — parametry filtrów wykresów nie są prawidłowo walidowane przed użyciem w zapytaniach do bazy. Uwierzytelniony użytkownik z dostępem do API może za pomocą technik blind SQL injection odczytać dowolne dane z bazy Mautic, w tym dane kontaktów i kont użytkowników z hashami haseł.

W endpointcie AJAX wyszukiwania kontaktów interfejsu administracyjnego Mautic (/s/ajax) występuje podatność na wstrzyknięcie SQL — parametr wybierający pole kontaktu do wyszukiwania nie jest prawidłowo walidowany przed użyciem w zapytaniu do bazy. Każdy uwierzytelniony użytkownik Mautic może to wykorzystać niezależnie od roli i uprawnień, odczytując dowolne dane dostępne dla użytkownika bazy Mautic.