Frappe CRM bị bypass xác thực qua invitation key đã ghi log

Frappe CRM là một công cụ quản lý quan hệ khách hàng mã nguồn mở. Trước phiên bản 1.73.0, tồn tại lỗ hổng bypass xác thực thông qua các invitation key đã được ghi log trong crm/api. Vấn đề này đã được vá ở phiên bản 1.73.0.

• Frappe CRM (frappe / crm): Bản ghi CVE chuẩn hóa xác định phiên bản bị ảnh hưởng là < 1.73.0.
• Advisory của CNA hoặc nhà cung cấp: Xác định phiên bản bị ảnh hưởng là <v1.72.1 và phiên bản đã được vá là v1.73.0.
• Hai ranh giới này mâu thuẫn nhau. Trạng thái của các phiên bản từ 1.72.1 đến trước 1.73.0 chưa được giải quyết rõ ràng trong các bằng chứng hiện có.
• Để phân loại an toàn, cần rà soát mọi deployment < 1.73.0; không nên mặc định rằng 1.72.1 hoặc bất kỳ phiên bản trung gian nào đã an toàn nếu chưa có xác nhận theo từng nhánh.

Khu vực dễ bị ảnh hưởng của Frappe CRM là crm/api; mô tả được cung cấp xác định các invitation key đã ghi log là điều kiện dẫn đến bypass xác thực. Advisory của nhà cung cấp cho biết các deployment đã phát hành user invitation có thể bị ảnh hưởng và đưa ra workaround nhắm tới các bản ghi invitation đã được chấp nhận nhưng vẫn còn key. Release notes mô tả cách sửa là đặt key về null sau khi invitation được chấp nhận và bổ sung trạng thái pending cho invitation. Đặc tính tấn công trong bản ghi chuẩn hóa cho thấy lỗ hổng có thể được tiếp cận qua mạng, không yêu cầu quyền trước đó hoặc tương tác của người dùng, với độ phức tạp thấp và một điều kiện liên quan đến invitation phải tồn tại. Lỗ hổng được phân loại là CWE-287, Improper Authentication. Các tài liệu công khai chưa xác định endpoint cụ thể, định dạng request, quyết định phân quyền bên trong hoặc những thao tác CRM chính xác nào có thể bị truy cập, vì vậy các chi tiết này vẫn chưa rõ.

• Khả năng tiếp cận: Qua mạng.
• Điều kiện: Deployment phải có điều kiện liên quan đến user invitation; advisory nêu cụ thể các deployment đã phát hành invitation.
• Xác thực: Không yêu cầu quyền trước đó.
• Tương tác người dùng: Không cần.
• Độ phức tạp: Thấp.
• Trạng thái khai thác: Bản ghi được cung cấp đánh dấu không có public exploit và chưa có trạng thái known exploited. CISA ADP enrichment ghi nhận exploitation là none và automatable là no. Các trạng thái này chỉ phản ánh phạm vi dữ liệu hiện có, không chứng minh rằng lỗ hổng sẽ không bị khai thác trong tương lai.

Hậu quả kỹ thuật được xác nhận là bypass xác thực, có thể dẫn đến các thay đổi trái phép đối với tính toàn vẹn của Frappe CRM. Bản ghi có cấu trúc cho biết không có tác động được nêu đối với tính bí mật hoặc tính sẵn sàng, do đó không nên xem rò rỉ dữ liệu hoặc ngừng dịch vụ là kết quả đã được chứng minh. Tác động tổ chức có khả năng là dữ liệu hoặc trạng thái CRM bị sửa trái phép trong các deployment có invitation đã được phát hành, nhưng phạm vi thao tác cụ thể vẫn chưa được công khai. CISA enrichment phân loại tác động kỹ thuật là partial.

Các tổ chức sử dụng Frappe CRM và đã phát hành user invitation có thể phải đối mặt với việc thay đổi trái phép trạng thái hoặc dữ liệu CRM. Hậu quả thực tế có thể bao gồm thao túng các bản ghi hoặc trạng thái liên quan đến invitation, nhưng tài liệu hiện có không xác định chính xác những thao tác nghiệp vụ nào có thể bị thực hiện. Bản ghi có cấu trúc không cho thấy tác động được đánh giá đối với tính bí mật hoặc tính sẵn sàng, vì vậy không nên tự động suy ra khả năng rò rỉ dữ liệu hoặc gián đoạn dịch vụ. Khi điều tra, nên ưu tiên các bản ghi invitation đã được chấp nhận nhưng vẫn còn key và các thay đổi CRM bất thường.

1. Nâng cấp lên v1.73.0: Đây là phiên bản được advisory của nhà cung cấp xác định là đã vá. Release notes mô tả bản sửa là đặt key về null sau khi invitation được chấp nhận và bổ sung trạng thái pending cho invitation.
2. Nếu chưa thể nâng cấp, áp dụng workaround của nhà cung cấp: Chạy thủ công script hoặc SQL command để đặt key field về null hoặc randomize key field cho mọi hàng trong tabCRM Invitation có trạng thái Accepted. Advisory không cung cấp một câu lệnh chuẩn duy nhất, vì vậy không nên tự suy đoán cú pháp.
3. Rà soát các phiên bản có ranh giới chưa rõ: Kiểm tra riêng các deployment từ 1.72.1 đến trước 1.73.0, vì advisory và bản ghi chuẩn hóa đưa ra hai phạm vi khác nhau.
4. Xác minh theo từng nhánh phát hành: Không suy ra rằng các nhánh song song hoặc các phiên bản khác ngoài bản vá đã nêu đều được bảo vệ nếu chưa có bằng chứng cụ thể.

• Kiểm kê phiên bản Frappe CRM trên mọi deployment và đối chiếu với các ranh giới phiên bản trong mục affected_summary.
• Xác định deployment nào đã từng phát hành user invitation, vì advisory giới hạn tác động vào điều kiện này.
• Kiểm tra bảng tabCRM Invitation, tập trung vào các bản ghi có trạng thái Accepted, và xác định key field còn giá trị hay đã được đặt về null.
• Rà soát log ứng dụng và web quanh crm/api cùng các luồng invitation để tìm request không xác thực hoặc thay đổi CRM bất thường. Đây là biện pháp giám sát phòng ngừa, không phải IOC đã được xác nhận.
• Kiểm tra tính toàn vẹn của các thay đổi CRM gần đây, đặc biệt ở các deployment có invitation đã được chấp nhận. Không có log bất thường không chứng minh rằng hệ thống an toàn.