Controle de acesso quebrado + configuração incorreta = bela escalação de privilégios

Olá Seu/Ela

Esta história será sobre a vulnerabilidade de escalonamento de privilégios que encontrei recentemente

• Existem 2 funções neste criador de site/proprietário da conta
• o usuário proprietário da conta é o gerente e pode acessar todos os usuários da conta e outras funções
• A função de criador só pode criar algumas coisas na organização, mas não pode acessar nada, como informações do usuário, UUIDs e outras informações/PII da organização

• Eu tentei a maioria dos endpoints para encontrar controle de acesso quebrado, mas a maioria deles 403 foi proibida, apenas um endpoint me permitiu ler as informações/PII dos usuários

GET /v1/account/customer/users?includeDetails=true HTTP/1.1 Host: dontlookhere Cookie: FewRoleUserCookies User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:106.0) Gecko/20100101 Firefox/106.0 Aceitar: application/json, text/plain, */* Accept-Language: en-US,en;q=0.5 Accept-Encoding: gzip, deflate Referer: https:// dontlookhere Dnt: 1 Sec-Fetch-Dest: empty Sec- Fetch-Mode: cors Sec-Fetch-Site: mesma origem Te: reboques Conexão: fechar

• O controle de acesso quebrado acima que encontrei no endpoint me permitiu acessar as informações do usuário da organização, como e-mail, número de telefone, UUID, endereço e outros

• Além disso, a maioria das funções são proibidas de retornar 403, adicionar usuário, excluir usuário e outras funções de gravação retornam 403
• Apenas uma função foi executada e retornou 200 em uma conta de função de usuário poucos
• Então eu tentei este pedido

• Na solicitação acima, descobri que consegui alterar o status dos usuários para desativar sem 403 e o usuário mudou para o status desativado e pode reativá-lo
• Mas no segundo aqui, consegui atualizar minha função de criador para gerente de contas usando a função de alteração de função

[1]

A função [2] é o criador e a função [1] é o gerente da conta.
Então, substituí os cookies pelos cookies da conta da função do criador e alterei o UUID para o mesmo UUID da conta da função do criador. foi capaz de editar as funções de qualquer outro usuário porque consegui recuperar os UUIDs

• A solicitação executada pelos poucos usuários e o quê?
• E que bom que a função da conta foi alterada para gerente de contas e agora sou o administrador da organização :)

• Portanto, as funções para as quais posso escalar são:

Acessar PII/Informações do usuário

Altere minhas funções/ funções dos usuários e obtenha uma função de proprietário da conta

Obrigado por ler, espero que você tenha dias maravilhosos até nos encontrarmos novamente

Sociais:

Linkedin.com/in/m359ah

Twitter.com/m359ah