中央大學eeclass系統Broken Access Control

Vulnerability Overview

ZDID: ZD-2021-00345
發信 Vendor: 國立中央大學
Title: 中央大學eeclass系統Broken Access Control
Introduction: Broken Access Control

處理狀態

目前狀態

公開

Last Update : 2021/07/25

新提交
已審核
已通報
已修補
未複測
公開

處理歷程

2021/06/25 02:04:55 : 新提交 (由 wqwfeoipwqjfpwiejfdpioqweoifjqwf 更新此狀態)
2021/06/25 02:07:00 : 新提交 (由 wqwfeoipwqjfpwiejfdpioqweoifjqwf 更新此狀態)
2021/06/27 23:42:44 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2021/06/28 12:50:14 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2021/06/28 12:50:14 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2021/06/28 12:50:14 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2021/07/07 12:51:02 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2021/07/07 12:51:23 : 複測申請中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2021/07/25 03:00:03 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2021-00345
通報者：lebr0n_li (wqwfeoipwqjfpwiejfdpioqweoifjqwf)
風險：中
類型：存取控制缺陷 (Broken Access Control)

參考資料

攻擊者可經由該漏洞取得、修改、刪除系統中的其他使用者的資料，或連線至高權限使用者的頁面。

OWASP Top 10 - 2017 A5 - Broken Access Control
https://www.owasp.org/index.php/Top_10-2017_A5-Broken_Access_Control

CWE-284: Improper Access Control
https://cwe.mitre.org/data/definitions/284.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

考完試後檢查考試過程中產生的request所以發現的洞
以下是進行我的英聽測驗時記錄到的request

Request:

POST /ajax/sys.app.kexam/getAttach/?ajaxAuth=516164fa0721d127387cae2ada971cd6 HTTP/1.1
Host: ncueeclass.ncu.edu.tw
Connection: close
Content-Length: 15
sec-ch-ua: " Not;A Brand";v="99", "Google Chrome";v="91", "Chromium";v="91"
Accept: */*
X-Requested-With: XMLHttpRequest
sec-ch-ua-mobile: ?0
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_4) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.114 Safari/537.36
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
Origin: https://ncueeclass.ncu.edu.tw
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: cors
Sec-Fetch-Dest: empty
Accept-Encoding: gzip, deflate
Accept-Language: zh-TW,zh;q=0.9,en-US;q=0.8,en;q=0.7,ko;q=0.6,zh-CN;q=0.5
Cookie: **REDACTED**

attachId=307818

Response:

HTTP/1.1 200 OK
Date: Thu, 24 Jun 2021 16:58:39 GMT
Server: Apache
Cache-Control: no-store, no-cache, must-revalidate
Pragma: no-cache
Expires: Thu, 19 Nov 1981 08:52:00 GMT
X-XSS-Protection: 1; mode=block
Content-Length: 888
Connection: close
Content-Type: application/json; charset=utf-8

{"ret":{"status":"true","msg":"ok","focus":"","data":{"id":307818,"pageId":"kexam.1358","module":"kques.16150","namespace":"","path":"\/sysdata\/attach\/kexam.1358\/kques.16150\/409f1a335d6e1e3026805162738a1ad8.mp3","srcName":"StartUp6_Unit04_Test_01.mp3","name":"409f1a335d6e1e3026805162738a1ad8.mp3","createTime":"2021-06-20 21:34:32","size":7802048,"userID":373,"mimeType":"audio\/mpeg","imgSize":null,"downloadUrl":"\/filedownload\/307818","cdnDownloadUrl":"\/filedownload\/307818","deleteUrl":"\/ajax\/sys.pages.attach_delete\/delete\/?id=307818&_lock=id&ajaxAuth=91c113840bfea705775310ecff5f1760","changeNameUrl":"\/ajax\/sys.pages.attach_update\/changeFileName\/?id=307818&isTemp=0&_lock=id%2CisTemp&ajaxAuth=f7aafffd64773d3fde51045ab5bf3ee8","filename":"StartUp6_Unit04_Test_01.mp3","ext":"mp3","thumbUrl":"\/sys\/res\/icon\/mimetype\/audio.png","link":"\/filedownload\/307818"}

後來發現attachId沒有任何限制，只要確定attachId是多少，就能從回傳的json拿到path(/sysdata/attach/....的那一欄)
拿到path就能在沒有任何限制的情況存取原始檔案
故只要修改POST request中的attachId並窮舉，就能拿到可以存取(/sysdata/那個，不是filedownload那個)甚至刪除(但我沒試過deleteUrl，也不想試)全校師生的上傳文件連結

測試並通報只是為了讓自己常用的網站更安全
且我在發現漏洞當下就馬上通報，測試結果也無用於其他用途或分享任何漏洞細節，也未影響任何使用者
若學校有任何疑慮還請盡快與我聯繫，我也願意接受調查！
由於文件可能包括考試的附件(像是我的英聽，又或是考試題目有圖片敘述，應該也會導致洩漏)、同學的作業、遠距考試上傳的答案等等資料
避免遭有心人士濫用，還請盡快修補，辛苦了！

修補建議

設置存取權限

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

中央大學eeclass系統Broken Access Control - HITCON ZeroDay

Vulnerability Detail Report