Digest sulla sicurezza di Linode 8 maggio - 15 maggio 2023

Nel digest di questa settimana discuteremo di quanto segue:

• Una vulnerabilità XSS in un plugin WordPress molto diffuso, Advanced Custom Fields;
• Vulnerabilità XSS di cPanel; e
• Una potenziale vulnerabilità nell'esposizione delle informazioni in Flask

CVE-2023-30777: Plugin WordPress Advanced Custom Fields (ACF) e ACF Pro: XSS non autenticato 

Sfondo

Advanced Custom Fields (ACF) e ACF Pro, rispettivamente le versioni gratuita e pro dei plugin ACF, è un plugin per WordPress molto popolare, con oltre due milioni di installazioni attive. Questo plugin semplifica l'aggiunta e la gestione dei campi di contenuto nella schermata di modifica di WordPress. Potete leggere qui per scoprire come potete creare il vostro sito web WordPress su un'istanza di calcolo Linode.

Vulnerabilità

La vulnerabilità identificata come CVE-2023-30777 è presente nelle versioni 6.1.5 e successive dei plugin ACF e ACF Pro. Si tratta di una vulnerabilità XSS riflessa che consente a un utente malintenzionato di iniettare script dannosi nei siti web vulnerabili, inducendo l'utente a visitare un URL modificato. Se la vittima è un utente privilegiato, l'aggressore può potenzialmente rubare informazioni sensibili come cookie o token di sessione e aumentare i propri privilegi.

La vulnerabilità risiede in un gestore di funzione admin_body_class che non sanifica correttamente l'input dell'utente passato a una variabile. Ciò consente a un utente malintenzionato di concatenare direttamente codice dannoso, come un payload DOM XSS, alla variabile, che contiene la stringa della classe del corpo.

Mitigazione

• Questa vulnerabilità è stata risolta nella versione 6.1.6 del plugin. Si raccomanda vivamente di aggiornare il plugin alla versione più recente.

CVE-2023-29489: cPanel: XSS nella pagina di errore cpsrvd tramite chiamata web non valida

Sfondo

cPanel è un pannello di controllo per web hosting molto utilizzato dai proprietari di siti web, dagli amministratori e dai provider di hosting per gestire e controllare vari aspetti dei loro siti web e account di hosting. Offre un'interfaccia grafica basata su Linux che consente agli utenti di gestire facilmente i file del proprio sito web, creare account di posta elettronica, impostare database, installare applicazioni, gestire domini e sottodomini ed eseguire varie altre attività amministrative.

Vulnerabilità

La vulnerabilità, classificata come CVE-2023-29489, è un XSS riflesso presente nelle versioni di cPanel precedenti alla 11.109.9999.116. La vulnerabilità si verifica quando viene richiamata una chiamata web non valida con il suo ID contenente contenuto XSS. La vulnerabilità è presente nel binario cpsrvd, che fornisce le funzionalità principali di cPanel. La pagina di errore di cpsrvd esegue una convalida impropria del contenuto fornito dall'utente. Un attacco XSS viene attivato quando la pagina di errore contiene contenuti XSS. Questa vulnerabilità non richiede alcuna autenticazione e colpisce anche le porte di gestione non esposte all'esterno.

Mitigazione

• La vulnerabilità è stata risolta nelle versioni 11.109.9999.116, 11.108.0.13, 11.106.0.18 e 11.102.0.31. Si consiglia di aggiornare a queste versioni per risolvere il problema.

CVE-2023-30861: Flask: Potenziale esposizione di informazioni del cookie di sessione permanente

Sfondo

Flask è un framework leggero per applicazioni web scritto in Python. Fornisce un modo semplice e flessibile per costruire applicazioni web sfruttando il linguaggio di programmazione Python . Si concentra sulla semplicità e sull'estensibilità, non imponendo alcun modo particolare di strutturare un'applicazione. Flask ha anche un ricco ecosistema di estensioni che consente agli sviluppatori di scegliere i componenti necessari per il loro progetto.

Vulnerabilità

La vulnerabilità è segnalata come CVE-2023-30861. Le versioni interessate dei pacchetti Flask sono le versioni 2.3.0, 2.3.1 e 2.2.4 e successive. Si tratta di una potenziale vulnerabilità di esposizione delle informazioni in cui una risposta contenente dati destinati a un client può essere memorizzata nella cache da un proxy e inviata a un altro client. A seconda di come il proxy gestisce i cookie, potrebbe anche inviare i cookie di sessione a un client non previsto. La vulnerabilità richiede il rispetto di particolari condizioni:

1. Il proxy di caching posto di fronte all'applicazione web di Flask non elimina i cookie né ignora le risposte con i cookie.
2. L'applicazione web imposta il campo session.permanent su True.
3. L'applicazione web non accede né modifica la sessione in nessun momento della richiesta.
4. SESSION_REFRESH_EACH_REQUEST è abilitato, che è l'impostazione predefinita.
5. L'applicazione Web non imposta un'intestazione Cache-Control per specificare che la pagina non deve essere memorizzata nella cache.
6. Se il proxy memorizza nella cache anche le intestazioni Set-Cookie, può anche inviare il cookie di sessione di un client a un client non previsto.

Questa vulnerabilità è causata da versioni vulnerabili di Flask che non impostano l'intestazione Vary: Cookie quando la sessione viene aggiornata senza essere stata visitata o modificata.

Mitigazione

• Questa vulnerabilità è stata corretta nelle versioni 2.2.5 e 2.3.2 del pacchetto Flask. Si consiglia di aggiornare a queste versioni.