Stored XSS trong October CMS cho phép tải lên PDF độc hại

October 3.6.30 cho phép một tài khoản quản trị viên đã xác thực tải lên một tệp PDF chứa JavaScript độc hại vào hệ thống mục tiêu. Nếu tệp được truy cập thông qua website, điều này có thể dẫn đến một cuộc tấn công Cross-Site Scripting (XSS) hoặc thực thi mã tùy ý thông qua JavaScript được tạo riêng cho mục tiêu.

• October CMS của vendor octobercms: phiên bản 3.6.30 được ghi nhận là bị ảnh hưởng. • Chức năng liên quan là khu vực media upload, bao gồm luồng tải tài liệu trong Documents. • Không có phiên bản sửa lỗi cụ thể trong dữ liệu được cung cấp. Tình trạng của các nhánh hoặc phiên bản khác chưa được xác nhận.

Lỗi nằm trong chức năng tải tệp của khu vực quản trị media. Một tài khoản quản trị viên đã xác thực có thể đưa lên một tệp PDF chứa JavaScript độc hại; bản phân tích công khai xác định khu vực liên quan là admin/media và luồng tải tệp trong Documents. Khi tệp được mở qua website, JavaScript được lưu trong tệp có thể được trình duyệt thực thi, dẫn đến stored Cross-Site Scripting (XSS). Nguồn hiện có cũng nêu khả năng thực thi mã tùy ý thông qua JavaScript được tạo riêng, nhưng không đủ bằng chứng để xác định đây là thực thi mã phía máy chủ hay để xác nhận một đường tấn công cụ thể ngoài việc tệp phải được truy cập qua website.

Cuộc tấn công có thể được thực hiện qua giao diện web và cần một tài khoản quản trị viên đã xác thực để tải tệp lên. Sau đó, tệp phải được người dùng hoặc trình duyệt truy cập qua website để JavaScript được kích hoạt, vì vậy có yêu cầu tương tác người dùng ở bước thực thi. Một public proof of concept đã được công bố trong phân tích kỹ thuật của bên thứ ba. Bằng chứng hiện có không xác nhận việc khai thác trong thực tế, chiến dịch cụ thể hoặc nạn nhân cụ thể.

Lỗi có thể tạo stored XSS khi một PDF chứa JavaScript độc hại được mở qua website. Hậu quả trực tiếp có thể gồm thay đổi nội dung trang hoặc thực hiện hành động trong ngữ cảnh trình duyệt của người dùng truy cập tệp. Nguồn cũng mô tả khả năng thực thi mã tùy ý, nhưng không đủ chi tiết để kết luận mã được thực thi ở phía máy chủ, với quyền nào hoặc trên phạm vi nào. Việc tải tệp yêu cầu tài khoản quản trị viên đã xác thực, còn việc kích hoạt lỗi yêu cầu người dùng hoặc trình duyệt truy cập PDF; hồ sơ hiện tại không xác nhận tác động đến tính bảo mật dữ liệu hay tính sẵn sàng của dịch vụ.

• Người dùng truy cập PDF độc hại có thể bị chạy JavaScript ngoài dự kiến trong phiên trình duyệt, làm thay đổi nội dung hoặc hành vi của trang. • Tác động đến tính toàn vẹn của giao diện và phiên làm việc có thể xảy ra nếu JavaScript được thực thi trong ngữ cảnh có quyền phù hợp. • Khả năng thực thi mã tùy ý được nguồn mô tả, nhưng phạm vi thực tế và việc có dẫn đến thực thi mã phía máy chủ hay không chưa được xác lập. • Bản ghi hiện có không chứng minh việc lộ dữ liệu, gián đoạn dịch vụ, chiếm quyền hệ thống hoặc một sự cố cụ thể.

1. Xác định và xử lý các triển khai October CMS phiên bản 3.6.30; không coi một phiên bản mới hơn là đã sửa lỗi nếu chưa có xác nhận của vendor.
2. Vì dữ liệu hiện có không cung cấp fixed release hoặc bản vá cụ thể, theo dõi hướng dẫn cập nhật chính thức của vendor và chỉ nâng cấp lên phiên bản được xác nhận là đã khắc phục.
3. Trong thời gian chờ bản sửa lỗi, hạn chế quyền truy cập vào chức năng tải tệp trong khu vực quản trị và ngăn các PDF chưa được tin cậy được phân phối cho người dùng, nếu phù hợp với thiết kế vận hành.
4. Rà soát và gỡ khỏi khả năng truy cập công khai các PDF đáng ngờ đã được tải lên; kiểm tra các tài khoản quản trị có quyền tải tệp và thay đổi quyền khi cần.

1. Kiểm kê các hệ thống đang chạy October CMS và xác minh phiên bản trong phạm vi bị ảnh hưởng.
2. Rà soát khu vực admin/media, thư mục Documents và lịch sử tải PDF để tìm các tệp được tải lên bởi tài khoản quản trị viên không mong đợi.
3. Kiểm tra các PDF được phân phối qua website để phát hiện JavaScript nhúng hoặc nội dung bất thường; thực hiện việc này trong môi trường phân tích cô lập.
4. Rà soát nhật ký truy cập đối với các PDF được tải lên và mở qua website như một biện pháp phòng ngừa. Đây không phải là IOC đã được nguồn công bố, và việc không thấy bản ghi phù hợp không chứng minh hệ thống an toàn.