Control de acceso roto + mala configuración = Hermosa escalada de privilegios

Hola Su/Ella

Esta historia será sobre la vulnerabilidad de escalada de privilegios que encontré últimamente

• Hay 2 roles en este sitio creador/propietario de cuenta
• el usuario propietario de la cuenta es la administración y puede acceder a los usuarios de la cuenta completa y otras funciones
• El rol de creador solo puede crear algunas cosas en la organización, pero no puede acceder a nada, como información de usuario, UUID y otra información/PII de la organización.

• Probé la mayoría de los puntos finales para encontrar un control de acceso roto, pero la mayoría de ellos 403 estaba prohibido, solo un punto final me permitió leer la información/PII de los usuarios

GET /v1/account/customer/users?includeDetails=true HTTP/1.1 Host: dontlookhere Cookie: FewRoleUserCookies Agente de usuario: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:106.0) Gecko/20100101 Firefox/106.0 Aceptar: application/json, text/plain, */* Accept-Language: en-US,en;q=0.5 Accept-Encoding: gzip, deflate Referer: https:// dontlookhere Dnt: 1 Sec-Fetch-Dest: empty Sec- Fetch-Mode: cors Sec-Fetch-Site: mismo origen Te: remolques Conexión: cerrar

• El control de acceso roto anterior que encontré en el punto final me permitió acceder a la información del usuario de la organización, como correo electrónico, número de teléfono, UUID, dirección y otros

• Además, la mayoría de las funciones tienen devolución prohibida 403, agregar usuario, eliminar usuario y otras funciones de escritura devuelven 403
• Solo se ejecutó una función y se devolvieron 200 en una cuenta de función de pocos usuarios
• Así que probé esta solicitud

• En la solicitud anterior, encontré que podía cambiar el estado de los usuarios para desactivar sin 403 y el usuario cambió al estado desactivado y puede reactivarlo
• Pero el segundo aquí pude actualizar mi rol de creador a administrador de cuentas usando la función de cambio de rol

[1]

El rol [2] es el creador y el rol [1] es el administrador de la cuenta
. Así que reemplacé las cookies por las cookies de la cuenta del rol del creador y cambié el UUID al mismo UUID de la cuenta del rol del creador. Lo obtuve del control de acceso roto anterior y también pude editar los roles de otros usuarios debido a que pude recuperar los UUID

• La solicitud ejecutada por los pocos usuarios y qué?
• Y eso es genial, el rol de la cuenta se ha cambiado a administrador de cuentas y ahora soy el administrador de la organización :)

• Entonces, las funciones a las que puedo escalar son:

Acceder a la PII/Información del usuario

Cambiar mis roles y los roles de los usuarios y obtener un rol de propietario de la cuenta

Gracias por leer espero que tengas días maravillosos hasta que nos volvamos a encontrar

Sociales:

Linkedin.com/in/m359ah

Twitter.com/m359ah