Sebuah Nasihat yang Dikeluarkan oleh Universitas Carnegie Mellon Memperingatkan Terhadap Kerentanan dalam Survei Kotak Centang

  • Whatsapp
Sebuah Nasihat yang Dikeluarkan oleh Universitas Carnegie Mellon Memperingatkan Terhadap Kerentanan dalam Survei Kotak Centang

 

Di alam liar, Pusat Koordinasi CERT (CERT/CC) di Universitas Carnegie Mellon memperingatkan tentang kerentanan Survei Kotak Centang yang mungkin memungkinkan penyerang jarak jauh untuk melepaskan kode arbitrer tanpa identifikasi yang sebenarnya.
Kotak centang adalah widget GUI yang memungkinkan pengguna untuk memilih di antara salah satu dari dua alternatif yang saling eksklusif. Survei Kotak Centang memungkinkan organisasi menghasilkan survei profesional dengan akses cepat dari desktop atau perangkat seluler apa pun, sebagai alat pengawasan online yang dapat disesuaikan yang dirancang di ASP.NET. Misalnya, pertanyaan dasar ya/tidak mungkin meminta pengguna untuk menjawab ‘ya’ atau ‘tidak’. Kotak centang akan ditampilkan dengan pilihan yang diperlukan.
Kerentanan ini dalam Survei Kotak Centang, yang diidentifikasi sebagai CVE-2021-27852, terkait dengan deserialisasi data status tampilan yang tidak aman, teknik yang diterapkan oleh kerangka halaman web ASP.NET.
Microsoft menyatakan bahwa “Ketika markup HTML untuk halaman dirender, status halaman saat ini dan nilai-nilai yang harus dipertahankan selama postback diserialkan ke dalam string yang disandikan base64. Informasi ini kemudian dimasukkan ke dalam bidang atau bidang tersembunyi status tampilan.”
Dengan menggunakan argumen _VSTATE, sebelum versi 7.0 – survei Kotak Centang menggunakan fungsionalitas Tampilan Statusnya yang dideserialisasi menggunakan Los Formatter.
“Survei Kotak centang sebelum versi 7.0 secara tidak aman menghapus data ASP.NET View State, yang dapat memungkinkan penyerang jarak jauh yang tidak diautentikasi untuk mengeksekusi kode arbitrer pada server yang rentan,” baca nasihat tersebut.
Kode Survei Kotak Centang mengatur data tetapi mengabaikan konfigurasi server ASP.NET View State Message Authentication Code (MAC), yang dapat digunakan penyerang secara efektif untuk menghasilkan sepotong informasi tak terduga yang dapat menyebabkan eksekusi kode di versi deserial.
Penasihat lebih lanjut menyatakan bahwa “Survei Kotak centang adalah aplikasi ASP.NET yang dapat menambahkan fungsionalitas survei ke situs web. Sebelum versi 7.0, Survei Kotak Centang mengimplementasikan fungsionalitas Tampilan Statusnya dengan menerima argumen _VSTATE, yang kemudian dideserialisasi menggunakan Los Formatter. Karena data ini ditangani secara manual oleh kode survei kotak centang, pengaturan ASP.NET View State Message Authentication Code (MAC) di server diabaikan. Tanpa MAC, penyerang dapat membuat data arbitrer yang akan dideserialisasi, menghasilkan eksekusi kode arbitrer.”
Sebagai dampak dari kelemahan tersebut, penyerang jarak jauh yang tidak diautentikasi dapat melakukan Kode arbitrer dengan kemampuan server web dengan membuat permintaan khusus ke server menggunakan Checkbox Survey 6.x.
Lihat Data Status tidak digunakan dari Survei Kotak Centang 7.0. Oleh karena itu, kerentanan ini tidak disertakan dalam Checkbox Survey Versions 7.0 atau yang lebih baru. Seseorang harus menghapus Survei Kotak Centang dari versi yang lebih lama dari 7.
Juga, Checkbox mengatakan bahwa mereka tidak lagi mengembangkan versi Checkbox Survey 6, oleh karena itu sama sekali tidak aman untuk menggunakan versi ini. Jika seseorang tidak dapat memperbarui ke versi Survei Kotak Centang yang tidak terganggu, maka setidaknya perangkat lunak ini harus dihapus dari setiap mesin yang menginstalnya.

Pos terkait

Tinggalkan Balasan

Alamat email Anda tidak akan dipublikasikan. Ruas yang wajib ditandai *