Mautic 7.2.2 javítja a távoli kódfuttatást, az SQL-beszúrást és további nagy súlyosságú hibákat

Mi történt

A Mautic projekt nyolc biztonsági közleményt adott ki, amelyek hibáit a Mautic 7.2.2 javítja; ezek egy részét a 6.0.10 és az 5.2.12 is javítja. A legsúlyosabb, a GHSA-mxjf-pghx-h299 jelű hiba kritikus, korlátozás nélküli fájlfeltöltést tesz lehetővé a kampányimportban. Az a hitelesített felhasználó, aki rendelkezik kampányimportálási jogosultsággal, a felületen vagy az /api/campaigns/import végponton keresztül archívumot tölthet fel, és ezzel szerveroldali szkripteket helyezhet el egy nyilvánosan elérhető médiakönyvtárban. A hivatalos Mautic Docker-kép alapértelmezett Apache-beállítása mellett ez távoli kódfuttatást tesz lehetővé a webkiszolgáló felhasználójaként; rendszergazdai jogosultságra nincs szükség.

Az egyéb hibák között szerepel a Twig sandbox megkerülése a témasablonokban (GHSA-h7pm-79gc-8867), két SQL-beszúrási probléma, tárolt XSS a HTML típusú egyedi kontaktmezőkben, hibás hozzáférés-szabályozás a Stats API-ban, tetszőleges fájlok olvasása az Asset API-n keresztül, valamint nyílt átirányítás az űrlapok beküldésekor. Több hibához elegendő egy alacsony jogosultságú fiók; a nyílt átirányításhoz nincs szükség hitelesítésre, de ahhoz, hogy kihasználják, az áldozatnak egy előkészített űrlapot kell beküldenie. A Mautic egyik hibával kapcsolatban sem közölt aktív kihasználást, és egyik sem szerepel a CISA KEV-katalógusában.

Kit érint

Az érintett verziótartományok közleményenként eltérnek. A Mautic 7 7.2.2 előtti kiadásait mind a nyolc biztonsági közlemény érinti. A Mautic 6 6.0.10 előtti és a Mautic 5 5.2.12 előtti kiadásait hat biztonsági közlemény érinti: GHSA-h7pm-79gc-8867, GHSA-fj8v-c9c3-7q26, GHSA-qpmx-7pq3-5q2v, GHSA-7j28-9rg4-wg63, GHSA-wfhm-289v-79vp és GHSA-5mm3-3g7p-9868. Ez a hat közlemény olyan érintett tartományokat ad meg, amelyek különböző régebbi verzióktól indulnak (1.0.0, 2.1.0, 2.3.0 vagy 2.8.1), és az 5.2.12 előtti verziókig tartanak; ezekhez a korábbi ágakhoz nem adtak meg nyilvános javított kiadást, a Mautic pedig a Mautic 4 esetében az ELTS-re hivatkozik. A platform jellemzően saját üzemeltetésű webalkalmazás, és nyilvános űrlapokat, illetve API-kat is elérhetővé tehet.

Mit kell most tenni

1. Frissítsen az ágához tartozó javított verzióra: Mautic 7.2.2, Mautic 6.0.10 vagy Mautic 5.2.12. A Mautic 7 esetében kizárólag a 7.2.2 javítja a kampányimport és a tárolt XSS hibáit; a Mautic 6 vagy 5 használatakor a 6.0.10, illetve az 5.2.12 verzióra frissítsen. Ha még Mautic 4-et használ, a Mautic szerint a témasablon-javítás az ELTS-en keresztül érkezik; a többi régebbi ághoz nem tettek közzé nyilvános javított kiadást.
2. Ha nem tud azonnal frissíteni, korlátozza azokat a jogosultságokat, amelyekre ezek a hibák építenek: vegye el a kampányimport létrehozási jogosultságát azoktól a felhasználóktól, akiknek nincs rá szükségük; a core:themes:create műveletet csak megbízható rendszergazdáknak engedélyezze; tiltsa le vagy korlátozza a Mautic API-t; valamint korlátozza a kontaktok szerkesztését és a HTML-mezők hozzárendelését.
3. A kontaktkereső SQL-beszúráshoz a webkiszolgálón vagy a WAF-on blokkolja azokat a /s/ajax kéréseket, amelyek a lead:getLeadIdsByFieldValue műveletet használják.
4. A kampányimport hibájánál a webkiszolgáló vagy a virtuális hoszt szintjén tiltsa le a szkriptek futtatását a media/ könyvtárban. A nyílt átirányításnál fordított proxyn vagy WAF-szabállyal blokkolja a /form/submit végpontról nem megbízható hosztokra történő átirányításokat. A javasolt megoldás a frissítés; a legtöbb közleményhez nincs hivatalos kerülő megoldás.

Hogyan észlelhető

Ha még nem tud frissíteni, összpontosítsa a megfigyelést a közleményekben megnevezett végpontokra: a /s/ajax végpont a lead:getLeadIdsByFieldValue művelettel, az irányítópult widgetjeinek API-kérései, az /api/campaigns/import, az /api/stats/{table}, valamint az olyan fiókokból az API-n keresztül történő eszközlétrehozás, amelyek ezt rendes működésük során nem használják. A kampányimportok után ellenőrizze, nem kerültek-e váratlan fájlok a webkiszolgáló médiakönyvtárába. A Mautic ezekhez a hibákhoz nem tett közzé konkrét kompromittálódási mutatókat.

A javításon túl

Ezek a hibák egy saját üzemeltetésű marketingplatformban vannak, és nemcsak rendszergazdák érhetik el őket, így a kitettség gyakran a Mautic kiadása és az Ön üzembe helyezése közötti idő. A menedzselt kiberbiztonsági felügyelet (MDR) képes észlelni a hitelesítő adatokkal való visszaélést és azokat a kompromittálás utáni tevékenységeket, amelyeket a távoli kódfuttatás (RCE) és az SQL-beszúrás tesz lehetővé. A bevezetési és felmérési szolgáltatások a frissítés előtt és után is ellenőrizhetik az API-elérhetőséget, a jogosultságokat és a webkiszolgáló beállításait.