CVE-2023–24044 : injection d'en-tête d'hôte sur la page de connexion de Plesk Obsidian

Au cours des tests, il a été déterminé que la page de connexion Plesk Obsidian est vulnérable aux attaques par injection d'en-tête d'hôte.

Un attaquant peut utiliser l'en-tête de requête Host pour rediriger les clients vers un site Web malveillant plutôt que vers la page de connexion officielle de Plesk.

Cette vulnérabilité peut être utilisée pour voler les informations d'identification de l'utilisateur ou pour infecter la machine de la victime avec des logiciels malveillants.

En injectant une charge utile directement dans l'en-tête de requête HTTP "Host:", un attaquant pourrait rediriger les visiteurs vers une page de connexion frauduleuse.

Étapes à reproduire :

1. Accédez à la page de connexion à Plesk Obsidian (https://<target>/login_up.php)
2. Interceptez la requête « login_up.php » .
3. Remplacez la valeur de l'en-tête de requête HTTP « Hôte : » par un site Web malveillant (par exemple :evil.com).
4. Le site Web cible redirigera vers "https://evil.com/login_up.php" plutôt que "https://<target>/login_up.php".

• Les attaquants peuvent utiliser cette vulnérabilité pour rediriger les utilisateurs vers des sites Web frauduleux, voler les mots de passe des utilisateurs ou installer des logiciels malveillants sur le PC de la victime.
• La gravité de cette vulnérabilité est importante, car elle a le potentiel de compromettre l'ensemble du système Plesk.

La vulnérabilité Host Header Injection dans Plesk Obsidian jusqu'à la version 18.0.49 est mise en évidence dans cette recherche.
À l'aide d'un en-tête de requête Host, la faille permet aux attaquants de rediriger les visiteurs vers des sites Web malveillants.

Twitter