МОДУЛЬ CIST ЯК РУТКІТ У СЕРЕДОВИЩІ MOODLE

Анотація

У цій статті досліджується модуль центра інформаційних систем і технологій «Center of Information Systems and Technologies» (CIST), який був розроблений для системи управління дистанційним навчанням «Distance Learning» (DL) на базі Moodle системи. Модуль CIST призначений для автоматичної синхронізації даних, що полегшує адміністрування студентів з використанням зовнішнього API центра інформаційних систем і технологій. Функціональність модуля CIST захищена можливістю, яка надається лише менеджерам DL системи. Було проведено детальний аналіз вихідного коду модуля CIST і виявлено критичну вразливість та відсутність механізмів захисту від міжсайтової підробки запитів CSRF. Модуль CIST не використовує унікальний токен безпеки (sesskey), який використовується системою Moodle для захисту від атак типу CSRF, що дозволяє будь-якому автентифікованому користувачеві ініціювати виконання привілейованих запитів від імені менеджера. Як наслідок, звичайний користувач без прав менеджера може заманити менеджера на зловмисну сторінку (XSS), що дозволить автоматично надіслати POST-запит з необхідними параметрами від імен менеджера до центра інформаційних систем і технологій через модуль синхронізації CIST. Таким чином, модуль функціонує як «руткіт», що дозволяє зловмиснику з низькими привілеями таємно виконувати привілейовані операції. Особливу небезпеку становить те, що параметри не фільтруються належним чином, що дозволяє зловмиснику вказувати довільні значення параметрів POST-запиту, зокрема для всіх факультетів університету, що призводить до синхронізації всіх даних без вибірки. Це призводить до несанкціонованого створення облікових записів з призначенням ролей, довільної зміни складу когорт, видалення легітимних студентів із груп і потенційних витоків конфіденційних даних через надсилання автоматичних листів з паролями на електронну пошту. Крім того, масова генерація облікових записів може призвести до перевантаження сервера DL, що є додатковим вектором атаки. Було описано практичний сценарій експлуатації критичної вразливості, коли користувач без прав менеджера створює зловмисний HTML-ресурс у DL системи з використанням JavaScript, далі за допомогою соціальної інженерії спонукає менеджера перейти за посиланням на цей ресурс, який автоматично надсилає POST-запит від імені менеджера до центру інформаційних систем і технологій. Оцінено вплив вектора атаки, внаслідок порушення цілісності даних, дезорганізація навчального процесу, а також можливість використання модуля як «руткіт» для прихованого маніпулювання DL системою без відома адміністрації та наголошено на необхідність негайного впровадження стандартних засобів захисту DL системи. Результати дослідження підкреслюють важливість комплексного підходу до безпеки при розробці додаткових модулів для популярних навчальних платформ, оскільки навіть одна незначна помилка може призвести до серйозних наслідків.