Podatności Omnispace Agora Project

Projekt Omnispace Agora przed wersją 25.10 zawiera podatność na przesyłanie plików, umożliwiającą atakującym wykonanie kodu przez silnik MSL biblioteki Imagick za pomocą spreparowanego pliku PDF w funkcjach przesyłania plików i miniatur.

Podatność na trwały XSS w Omnispace Agora Project przed 26.10.0 pozwala uwierzytelnionym atakującym na wstrzyknięcie złośliwego skryptu przez opis kategorii forum zawierający podwójny cudzysłów, który przełamuje atrybut wartości HTML.

Podatność na trwały XSS w Omnispace Agora Project przed 26.10.0 pozwala uwierzytelnionym użytkownikom na publikowanie wiadomości z iframe kontrolowanym przez atakującego przez gałąź SafeIframe HTMLPurifier, co umożliwia automatyczne renderowanie i wykonanie JavaScriptu u odbiorców.

Podatność na trwały XSS w Omnispace Agora Project przed 26.10.0 pozwala uwierzytelnionym atakującym na utrwalenie niezneutralizowanego znaczników przez złośliwe wartości w dwuwymiarowych tablicach POST w procesie importu LDAP/osoby, omijając filtr paramsFilter().

Podatność na trwały XSS w Omnispace Agora Project przed 26.10.0 pozwala uwierzytelnionym użytkownikom na wstrzyknięcie złośliwych skryptów przez niezdezynfekowane pole adresu linku, które jest umieszczane w atrybucie onclick bez neutralizacji cudzysłowów.

Podatność na odbity XSS w Omnispace Agora Project przed 26.10.0 pozwala nieuwierzytelnionym atakującym na wstrzyknięcie złośliwych atrybutów HTML przez manipulację parametrem visioUrl, który nie był filtrowany przez sanitizację URL i był dekodowany po filtrowaniu.

W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu. Administrator przestrzeni może przypisywać użytkowników do przestrzeni spoza swojego zakresu uprawnień, ponieważ operacja spaceAffectList wykonywana jest bez weryfikacji praw wywołującego do docelowej przestrzeni. Brak sprawdzenia readRight() w zapytaniu INSERT podczas importu pozwala naruszyć izolację dzierżawców.

W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu. Zwykły, nieadministracyjny członek może tworzyć konta użytkowników, wywołując akcję user-edit bez sprawdzenia autoryzacji na poziomie funkcji. Brak egzekwowania editRight() w actionVueEditUser pozwala tworzyć nieautoryzowane konta i prowadzi do eskalacji uprawnień.

W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na wstrzyknięcie SQL w funkcjonalności kalendarza. Parametr sortEvents jest wstawiany do klauzuli ORDER BY bez sanityzacji w pliku app/ModCalendar/CtrlCalendar.php. Atakujący mogą wykorzystać techniki oparte na błędach, np. payloady extractvalue, do wyciągnięcia informacji z bazy danych, w tym wersji systemu.

W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na złamanie kontroli dostępu w trasie MobileFileDownload. Nieuwierzytelnieni atakujący mogą pobierać dowolne pliki, obliczając token md5(nazwa_pliku) zamiast przechodzenia właściwej weryfikacji autoryzacji. Zgadnięcie lub ustalenie nazwy pliku pozwala wygenerować token i pobrać chronione pliki bez autoryzacji.

W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na path traversal. Atakujący mogą zapisywać dowolne pliki poza docelowym katalogiem tymczasowym, podając niezakotwiczoną wartość tmpFolderName w ścieżce docelowej przesyłania. Ustawienie tmpFolderName na sekwencję przejścia do katalogu web root pozwala zapisać kontrolowane przez atakującego pliki i osiągnąć zdalne wykonanie kodu.

W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na session fixation. Zdalni atakujący mogą przejąć uwierzytelnione sesje, umieszczając znany identyfikator sesji w przeglądarce ofiary przed logowaniem. Aplikacja nie regeneruje identyfikatora sesji po pomyślnym uwierzytelnieniu, co pozwala uzyskać nieautoryzowany dostęp do sesji ofiary po jej zalogowaniu.

W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność polegająca na przechowywaniu trwałego tokenu remember-me w postaci dosłownej po stronie serwera. Przechowywana wartość jest identyczna z poświadczeniem bearer w pliku cookie użytkownika. Atakujący, który uzyska dostęp do przechowywanego tokenu, np. przez ujawnienie bazy danych lub kopii zapasowej, może odtworzyć wartość plaintext i uwierzytelnić się jako ofiara bez znajomości hasła.

W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na przewidywalny token resetowania hasła. Nieuwierzytelnieni atakujący mogą przejąć konta użytkowników, obliczając token resetowania jako sha1(login.hasło), czyli wartość deterministyczną i wielokrotnego użytku. Atakujący mogą wyprowadzić lub złamać token na podstawie znanych lub zgadniętych kombinacji loginu i hasła, aby sfałszować żądania resetowania hasła i przejąć dowolne konta.

W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na obejście uwierzytelniania. Atakujący posiadający przechowywany hash hasła bcrypt użytkownika może uwierzytelnić się jako ten użytkownik bez znajomości faktycznego hasła, ponieważ mechanizm cookie AGORAP_LOG/AGORAP_PASS traktuje przechowywany hash jako bezpośrednio odtwarzalne poświadczenie bearer. Ustawienie tych cookies ze skradzionym hashem pozwala podszyć się pod dowolnego użytkownika, w tym administratora.

W projekcie Omnispace Agora przed wersją 26.10.0 występuje podatność na wstrzyknięcie identyfikatora SQL. Administrator przestrzeni może eskalować uprawnienia, podając kontrolowane przez wywołującego nazwy agoraFields[] jako niezwalidowane identyfikatory kolumn SQL podczas importu użytkowników. Atakujący mogą wstrzyknąć uprzywilejowane nazwy kolumn, takie jak generalAdmin, lub użyć technik wstrzykiwania backtick, aby ustawić flagi administracyjne i uzyskać uprawnienia generalnego administratora.

Omnispace Agora Project w wersji przed 26.10.0 zawiera podatność na złamanie kontroli dostępu w funkcji setAffectations(). Uwierzytelniony atakujący może wstawiać rekordy uprawnień dostępu dla dowolnej przestrzeni wskazanej przez wywołującego, bez weryfikacji, czy ma do niej prawa.

Omnispace Agora Project w wersji przed 26.10.0 zawiera podatność na wstrzyknięcie SQL drugiego rzędu poprzez parametr _idCategoryFilter. Złośliwy ładunek jest zapisywany w sesji, a następnie konkatenowany do zapytania SQL bez parametryzacji w pliku app/Common/MdlCategory.php.

Omnispace Agora Project w wersji przed 26.10.0 zawiera podatność na niebezpieczną losowość, umożliwiającą przewidzenie tymczasowych lub domyślnych haseł kont generowanych przez Txt::defaultPassword(). Funkcja opiera się na uniqid() w PHP, bazującym na czasie serwera w mikrosekundach.

Omnispace Agora Project przed wersją 26.10.0 zawiera podatność przechowywanego Cross-Site Scripting (XSS), która pozwala uwierzytelnionym atakującym wstrzyknąć znaczniki HTML/skryptu poprzez przesłanie załącznika odpowiedzi na ankietę ze złośliwą nazwą pliku, omijającą sanityzację paramFilter stosowaną do $_FILES. Atakujący mogą przesłać spreparowaną nazwę pliku, która jest przechowywana i później renderowana w komponentach takich jak kontroler pulpitu (CtrlDashboard), wykonując dowolny skrypt w przeglądarkach użytkowników przeglądających dotkniętą stronę.

Omnispace Agora Project przed wersją 26.10.0 zawiera podatność przechowywanego Cross-Site Scripting (XSS), która pozwala uwierzytelnionym użytkownikom wstrzyknąć złośliwy skrypt poprzez przesłanie pliku z znacznikami HTML/skryptu osadzonymi w nazwie pliku, co omija paramFilter, ponieważ nazwy przesłanych plików przychodzą przez $_FILES, a nie $_GET/$POST. Atakujący mogą przesłać plik o spreparowanej nazwie, takiej jak ładunek SVG onload, aby nieoczyszczona nazwa pliku została zapisana i później wyświetlona innym użytkownikom, co skutkuje wykonaniem skryptu w ich przeglądarkach.