SQL Injection e Vulnerabilidade XSS no Centreon

Eu sou Daniel França Lima e sou um testador de penetração Jr e pesquisador de vulnerabilidades na Hakai Offensive Security. Com o objetivo de ajudar a comunidade de hackers, empresas e também aprimorar minhas habilidades, periodicamente busco por falhas em aplicativos do mercado com o objetivo de realizar divulgação responsável.

Centreon é uma solução de monitoramento de ativos de sistema e rede baseada no padrão Nagios, sendo de código aberto e permitindo uma instalação e implementação fácil e eficaz, monitoramento e gerenciamento de desempenho.

Ao analisar a aplicação, foi possível encontrar uma vulnerabilidade de SQL Injection no parâmetro esc_name (Nome de Escalação) localizado em “Configuração/Notificações/Escalas”.

Sobre SQL Injection

Um ataque de SQL Injection consiste em manipular consultas SQL por meio dos dados de entrada do cliente para a aplicação. Uma exploração bem-sucedida de SQL Injection pode ler dados sensíveis do banco de dados, modificar dados do banco de dados (Inserir/Atualizar/Excluir), executar operações de administração no banco de dados (como desligar o DBMS), recuperar o conteúdo de um determinado arquivo presente no sistema de arquivos do DBMS e, em alguns casos, emitir comandos para o sistema operacional. Os ataques de SQL Injection são um tipo de ataque de injeção, no qual comandos SQL são injetados nos dados de entrada do plano de dados para afetar a execução de comandos SQL predefinidos. Com essa explicação em mente, podemos avançar para os detalhes técnicos.

Ao analisar as requisições, foi possível notar que se tratava de um blind-sqli (um tipo de ataque de SQL Injection que faz perguntas verdadeiras ou falsas ao banco de dados e determina a resposta com base na resposta da aplicação), mais especificamente um ataque baseado em tempo no qual o tempo de resposta da aplicação é utilizado. Abaixo está um prova de conceito.

Também é possível explorar Cross-Site Scripting (XSS) no mesmo campo explorado para SQLi, tornando assim possível inserir JavaScript malicioso na aplicação.

Sobre Cross-Site Scripting Armazenado

No mesmo campo mencionado anteriormente, foi possível encontrar outra vulnerabilidade chamada Cross-Site Scripting (XSS). Cross-site scripting (também conhecido como XSS) é uma vulnerabilidade de segurança na web que permite a um atacante comprometer as interações que os usuários têm com uma aplicação vulnerável. Ele permite que um atacante contorne a política de mesma origem, que é projetada para segregar diferentes sites uns dos outros. Vulnerabilidades de cross-site scripting normalmente permitem que um atacante se passe por um usuário vítima, para realizar quaisquer ações que o usuário seja capaz de executar e acessar qualquer um dos dados do usuário. Se o usuário vítima tiver acesso privilegiado dentro da aplicação, então o atacante pode ser capaz de obter controle total sobre toda a funcionalidade e dados da aplicação.

Versões corrigidas

– centreon-web-22.04.1

– centreon-web-21.10.8

– centreon-web-21.04.16

Linha do tempo

23/05/2022 – Notificado o fornecedor.

24/05/2022 – O fornecedor reconheceu a divulgação.

04/08/2022 – Novas versões do software foram lançadas com patches.

26/08/2022 – Publicação do post no blog