Uszkodzona kontrola dostępu + błędna konfiguracja = Piękna eskalacja uprawnień

Cześć jego/jej

Ta historia będzie dotyczyć luki w zabezpieczeniach związanej z eskalacją uprawnień, którą ostatnio odkryłem

• W tej witrynie twórca/właściciel konta ma 2 role
• Właścicielem konta jest użytkownik zarządzający, który ma dostęp do pełnych użytkowników konta i innych funkcji
• Rola twórcy jest w stanie tworzyć tylko niektóre rzeczy w organizacji, ale nie ma dostępu do niczego, na przykład informacji o użytkownikach, identyfikatorów UUID i innych informacji o organizacji/danych osobowych

• Wypróbowałem większość punktów końcowych, aby znaleźć zepsutą kontrolę dostępu, ale większość z nich 403 była zabroniona tylko jeden punkt końcowy pozwolił mi odczytać informacje o użytkownikach/PII

GET /v1/account/customer/users?includeDetails=true HTTP/1.1 Host: dontlookhere Cookie: FewRoleUserCookies User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:106.0) Gecko/20100101 Firefox/106.0 Zaakceptuj: application/json, text/plain, */* Accept-Language: en-US,en;q=0.5 Accept-Encoding: gzip, deflate Referer: https:// ntlookhere Dnt: 1 Sec-Fetch-Dest: empty Sec- Fetch-Mode: cors Sec-Fetch-Site: same-origin Te: przyczepy Połączenie: zamknij

• Uszkodzona kontrola dostępu, którą znalazłem w punkcie końcowym, pozwoliła mi uzyskać dostęp do informacji o użytkowniku organizacji, takich jak adres e-mail, numer telefonu, identyfikator UUID, adres i inne

• Ponadto większość funkcji jest zabroniona, 403 dodawanie użytkownika, usuwanie użytkownika i inne funkcje zapisu zwracają 403
• Wykonano tylko jedną funkcję i zwrócono 200 na koncie roli użytkownika Kilka
• Więc spróbowałem tej prośby

• W powyższym żądaniu odkryłem, że mogłem zmienić status użytkownika na dezaktywowany bez 403, a użytkownik zmienił status na dezaktywowany i może go ponownie aktywować
• Ale za drugim razem mogłem zmienić swoją rolę z twórcy na menedżera konta, korzystając z funkcji zmiany roli

[1]

Rola [2] to twórca, a rola [1] to menedżer konta
. Zastąpiłem więc pliki cookie plikami cookie konta roli twórcy i zmieniłem UUID na ten sam UUID konta roli twórcy. Otrzymuję to z zepsutej kontroli dostępu powyżej, a także ja był w stanie edytować role innych użytkowników, ponieważ mogłem pobrać tam identyfikatory UUID

• Żądanie wykonane przez kilku użytkowników i co?
• I to świetnie, rola konta została zmieniona na menedżera konta i teraz jestem administratorem organizacji :)

• Funkcje, do których mogę eskalować, to:

Uzyskaj dostęp do danych osobowych/informacji użytkownika

Zmień moje role/role użytkowników i uzyskaj rolę właściciela konta

Dzięki za przeczytanie, mam nadzieję, że będziesz miał cudowne dni, zanim znów się spotkamy

Społeczności:

Linkedin.com/in/m359ah

Twitter.com/m359ah