WebPros WHMCS: lỗi IDOR trong Client Area cho phép truy cập tài khoản khác

Việc kiểm tra quyền sở hữu không đầy đủ trong clientarea.php cho phép người dùng đã xác thực của client area gửi các yêu cầu sử dụng addonId của người dùng khác mà không có bất kỳ bước xác thực quyền sở hữu nào, dẫn đến việc truy cập trái phép vào tài khoản của nạn nhân.

WebPros và thông báo WHMCS không trình bày hoàn toàn giống nhau về ranh giới nhánh phát hành:

• Thông báo của WebPros mô tả tất cả bản dựng WHMCS 9.x trước 9.0.4, tất cả bản dựng WHMCS 8.x trước 8.13.3, và các bản dựng WHMCS 7.x sau 7.4.0 là bị ảnh hưởng.
• Dữ liệu affected có cấu trúc trong bản ghi đánh dấu 7.4.0 đến và bao gồm 18.12.2, 18.13.0 trước 18.13.3, và 9.0.0 trước 9.0.4 là bị ảnh hưởng, với trạng thái mặc định là không bị ảnh hưởng.
• Do hai cách biểu diễn này không khớp hoàn toàn, các hệ thống ở gần ranh giới nhánh nên được xác minh trực tiếp với WebPros thay vì suy luận trạng thái từ số phiên bản. Không nên coi một bản sửa cho một nhánh là bằng chứng rằng mọi nhánh khác đều an toàn.

WebPros WHMCS xử lý các yêu cầu của Client Area thông qua clientarea.php nhưng không xác minh addonId được cung cấp có thuộc về người dùng đã xác thực hay không. Do đó, người dùng có thể gửi yêu cầu tham chiếu đến mã add-on của tài khoản khác và yêu cầu có thể được thực hiện trong ngữ cảnh của tài khoản nạn nhân. Đây là lỗi CWE-639 IDOR, bắt nguồn từ việc thiếu kiểm tra quyền ở cấp đối tượng thay vì thiếu cơ chế xác thực người gửi yêu cầu. Chức năng bị ảnh hưởng có thể được truy cập qua Client Area; WebPros cho biết việc khai thác cần một phiên đăng nhập hợp lệ. Bản ghi không nêu rõ hành động yêu cầu cụ thể, module command hoặc toàn bộ tập thao tác có thể thực hiện sau khi vượt qua kiểm tra sở hữu, vì vậy các chi tiết này vẫn chưa được xác định.

Thông báo của WebPros cho biết việc khai thác cần một phiên Client Area đã xác thực hợp lệ. Siêu dữ liệu tấn công trong bản ghi mô tả đường tấn công có thể truy cập qua mạng và có độ phức tạp thấp, nhưng lại ghi nhận không cần quyền; điều này không nhất quán với mô tả lỗ hổng và thông báo của nhà cung cấp. Vì thông báo trực tiếp của WebPros cụ thể hơn, điều kiện tiền đề nên được hiểu là kẻ tấn công phải có tài khoản hoặc phiên Client Area hợp lệ. Bản ghi được cung cấp không xác định public exploit hoặc hoạt động khai thác đã được xác nhận; điều này không chứng minh rằng lỗ hổng chưa từng bị khai thác. Không có bằng chứng cho thấy nạn nhân phải tương tác để yêu cầu trái phép được gửi.

Khai thác thành công có thể cho phép người dùng đã xác thực truy cập tài khoản nạn nhân hoặc các dịch vụ mà người đó không sở hữu. Lỗi cũng có thể cho phép thực hiện các thao tác vượt ngoài quyền được gán cho tài khoản gửi yêu cầu, vì việc kiểm tra sở hữu đối tượng bị thiếu. Hậu quả kỹ thuật có thể bao gồm ảnh hưởng đến tính bí mật và tính toàn vẹn của dữ liệu hoặc cấu hình thuộc tài khoản khác. Bản ghi không mô tả việc gây gián đoạn dịch vụ, xóa dữ liệu hoặc toàn bộ các thao tác có thể thực hiện, nên phạm vi chính xác vẫn chưa rõ.

Lỗi phá vỡ ranh giới ủy quyền giữa các tài khoản khách hàng trong WHMCS. Một người dùng có thể truy cập dịch vụ không thuộc quyền sở hữu của mình hoặc thực hiện thao tác trong ngữ cảnh tài khoản khác, dẫn đến rủi ro lộ dữ liệu và thay đổi trái phép đối với dịch vụ hoặc thông tin tài khoản. Trong môi trường nhiều khách hàng, sự cố có thể ảnh hưởng đến tính tin cậy của phân tách tenant và làm phát sinh yêu cầu điều tra, thông báo sự cố hoặc rà soát quyền truy cập. Bản ghi không xác nhận khách hàng cụ thể nào đã bị ảnh hưởng hoặc dữ liệu nào đã bị truy cập.

1. Nâng cấp WHMCS theo bản sửa được WebPros công bố: 9.0.4 hoặc 8.13.3, tùy nhánh được hỗ trợ. Thông báo của WebPros nêu đây là các bản phát hành đã sửa lỗi.
2. Nếu chưa thể cập nhật ngay, áp dụng workaround tạm thời trong configuration.php để chặn mọi yêu cầu có addonId:

if (isset($_REQUEST['addonId'])) {
    die('This has been disabled.');
}

Workaround này vô hiệu hóa tất cả custom module command cho product addon trong Client Area, nên có thể làm gián đoạn chức năng của khách hàng. Gỡ đoạn cấu hình này sau khi đã cập nhật lên bản phát hành có bản sửa. 3. Nếu sử dụng WHMCS Cloud, thông báo của WebPros cho biết các hệ thống do họ lưu trữ đã được cập nhật và không cần khách hàng thực hiện hành động. Vẫn nên xác minh trạng thái dịch vụ với nhà cung cấp nếu cần bằng chứng vận hành. 4. Do dữ liệu có cấu trúc ghi nhận một ranh giới 18.13.0 trước 18.13.3 trong khi thông báo nhà cung cấp nêu nhánh 8.13.3, hãy xác nhận chính xác nhánh cài đặt trước khi kết luận hệ thống đã được sửa.

1. Kiểm kê tất cả triển khai WHMCS tự quản lý và đối chiếu nhánh, bản phát hành với các phạm vi bị ảnh hưởng trong phần affected_summary.
2. Kiểm tra log ứng dụng và web nếu có lưu tham số addonId, sau đó đối chiếu người dùng đã xác thực với chủ sở hữu thực tế của add-on hoặc dịch vụ được tham chiếu.
3. Rà soát Activity Log để tìm các sự kiện Single Sign-On hoặc truy cập dịch vụ bất thường phát sinh từ các tài khoản không khớp, theo khuyến nghị của WebPros.
4. Nếu đã áp dụng workaround, xác nhận các custom module command cho product addon trong Client Area thực sự bị vô hiệu hóa. Việc không thấy sự kiện đáng ngờ trong log không chứng minh hệ thống an toàn, đặc biệt khi log không lưu đủ thông tin định danh đối tượng.