CVE-2023-3533

Path Traversal i RCE w Chamilo LMS — nieuwierzytelniony zapis pliku

CVSS 9.8v3.1pub. 2023-11-28upd. 2024-11-21

Podatność path traversal w funkcji przesyłania plików w Chamilo LMS w wersji do 1.11.20 umożliwia nieuwierzytelnionym atakującym zapis dowolnych plików na serwerze. Prowadzi to bezpośrednio do uzyskania zdalnego wykonania kodu (RCE) oraz przeprowadzenia ataków stored XSS.

▸ Pokaż oryginał (EN)

Path traversal in file upload functionality in `/main/webservices/additional_webservices.php` in Chamilo LMS <= v1.11.20 allows unauthenticated attackers to perform stored cross-site scripting attacks and obtain remote code execution via arbitrary file write.

🤖 Analiza AI

Jak działa

Plik `/main/webservices/additional_webservices.php` nie wymaga uwierzytelnienia i nie filtruje poprawnie ścieżek przekazywanych podczas przesyłania plików. Atakujący może skonstruować żądanie zawierające sekwencje path traversal (np. `../`), co pozwala na zapis pliku w dowolnym miejscu dostępnym dla procesu serwera WWW. Umieszczając w ten sposób plik wykonywalny (np. webshell) poza przeznaczonym katalogiem, atakujący uzyskuje możliwość jego wywołania przez przeglądarkę i tym samym zdalne wykonanie kodu na serwerze.

Skutki

Nieuwierzytelniony atakujący może uzyskać pełną kontrolę nad serwerem poprzez RCE, a także przeprowadzić ataki stored XSS na użytkowników aplikacji poprzez zapis złośliwych plików w dostępnych lokalizacjach webowych.

Mitygacja

Należy zaktualizować Chamilo LMS do wersji zawierającej poprawkę dostępną w commicie 37be9ce7243a30259047dd4517c48ff8b21d657a. Szczegóły patcha dostępne są w referencjach producenta (support.chamilo.org oraz GitHub). Jako doraźny środek należy rozważyć ograniczenie dostępu do pliku `/main/webservices/additional_webservices.php` na poziomie konfiguracji serwera WWW lub firewalla aplikacyjnego.

Kogo dotyczy

Chamilo LMS w wersji 1.11.20 i wcześniejszych.

Uwagi

Podatność opisana w poradniku bezpieczeństwa Star Labs (starlabs.sg). Producent sklasyfikował problem jako CVE o krytycznym wpływie i wysokim ryzyku, opublikowany w wiki bezpieczeństwa Chamilo pod numerem Issue-124 z datą 2023-07-13.