真平語文無須登入可下載受限制教材

Vulnerability Overview

ZDID: ZD-2024-00684
發信 Vendor: 真平企業有限公司
Title: 真平語文無須登入可下載受限制教材
Introduction: 在無登入情況下，可下載僅限教師下載之教材檔案

處理狀態

目前狀態

公開

Last Update : 2024/08/15

新提交
已審核
已通報
未回報修補狀況
未複測
公開

處理歷程

2024/06/15 02:42:45 : 新提交 (由 ywc 更新此狀態)
2024/06/15 02:44:58 : 新提交 (由 ywc 更新此狀態)
2024/06/15 02:48:42 : 新提交 (由 ywc 更新此狀態)
2024/06/17 12:05:53 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2024/06/25 20:09:29 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2024/06/25 20:09:29 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2024/08/15 03:00:03 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2024-00684
通報者：ywc (ywc)
風險：中
類型：存取控制缺陷 (Broken Access Control)

參考資料

攻擊者可經由該漏洞取得、修改、刪除系統中的其他使用者的資料，或連線至高權限使用者的頁面。

OWASP Top 10 - 2017 A5 - Broken Access Control
https://www.owasp.org/index.php/Top_10-2017_A5-Broken_Access_Control

CWE-284: Improper Access Control
https://cwe.mitre.org/data/definitions/284.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

在教材服務頁面中，可發現到有部分教材需要有教師身分登入才可進行下載，如下圖中教學資源 -> 月考評量 -> 第一冊，亦有無須登入即可下載的部分，如下二張圖中的電子書 -> 真平電子書櫃 -> macOS 安裝程式

觀察前端程式碼，發現其點擊行為是由 x-dir.js javascript 程式碼進行處理，而程式碼其中也可以看到針對權限處理以及開啟和下載檔案的相關程式碼行為

閱讀了程式碼，發現相關連結資料是透過在第 95 行的部分取得，並一路透過 setup -> build 到裡面第 121 行的權限檢查及設置事件接聽程式部分來進行設定，而透過在第 95 行部分下中斷點並使用主控台部分查看 data 變數，可以取得相關資料以及關鍵的下載連結部分

根據下載部分的程式碼，得知可以使用 https://jp-resource.jen-pin.com.tw/api/download?path=xxx 的方式進行下載，如相關網址的第二個部分，而實際造訪後確實可進行下載取得教學檔案，顯示後端 api 沒有進行權限的檢查具有 broken access control 漏洞存在