Podatności FreeScout

FreeScout to darmowy system pomocy technicznej i wspólnej skrzynki odbiorczej zbudowany na frameworku Laravel. Przed wersją 1.8.214, modal zmiany klienta poprawnie ukrywał klientów spoza zakresu, jednak backendowa akcja conversation_change_customer akceptowała dowolny podany adres e-mail klienta.

FreeScout przed wersją 1.8.217 zawierał lukę w funkcji Helper::sanitizeRemoteUrl(), która nieprawidłowo walidowała adresy URL po przekierowaniach HTTP. Atakujący mógł wykorzystać tę lukę do przekierowania ruchu do wewnętrznych usług HTTP, które normalnie byłyby zablokowane.

FreeScout przed wersją 1.8.217 pozwala użytkownikom z uprawnieniami updateAutoReply na zapisanie ładunku XSS w wiadomości automatycznej odpowiedzi. Ładunek ten jest renderowany bez ucieczki w e-mailu automatycznej odpowiedzi wysyłanym do klientów.

W FreeScout przed wersją 1.8.224 publiczny endpoint `POST /user-setup/{hash}/{invite_sent_at}` pozwala atakującemu na przejęcie konta użytkownika bez uwierzytelnienia. Podatność wynika z pomijania spacji w VARCHAR w MySQL/MariaDB oraz z nieprawidłowego deszyfrowania parametru `invite_sent_at`.

FreeScout przed wersją 1.8.217 ma lukę w punkcie końcowym /user-setup/{hash}, który akceptuje 60-znakowy losowy invite_hash do ustawienia hasła nowego użytkownika. Brak weryfikacji wygaszenia hasha pozwala na nieautoryzowane przejęcie konta przez długi czas po wydaniu zaproszenia.

FreeScout, darmowe narzędzie helpdesk oparte na Laravelu, nie ogranicza szybkości żądań na punkcie końcowym przesyłania plików. Każdy użytkownik może zasypać serwer żądaniami przesyłania, prowadząc do przeciążenia bazy danych i potencjalnej odmowy usługi dla wszystkich użytkowników. Problem został naprawiony w wersji 1.8.224.

FreeScout przed wersją 1.8.224 zawiera podatność w funkcji App Logs, która pozwala uwierzytelnionemu atakującemu na pobranie dowolnych plików lokalnych czytelnych dla procesu PHP poprzez manipulację parametrem dl.

FreeScout przed wersją 1.8.224 posiada niekompletną listę zablokowanych rozszerzeń plików, która nie obejmuje rozszerzenia .pht. Uwierzytelniony agent może przesłać webshella .pht, co pozwala na zdalne wykonanie kodu na serwerze WWW.

Podatność Prototype Pollution w funkcji getQueryParam w pliku /public/js/main.js w FreeScout. Obejście w wersji 1.8.139 jest niekompletne, umożliwiając atak przez zagnieżdżone klucze URL. Poprawka w wersji 1.8.223.

Podatność w FreeScout przed wersją 1.8.223. Nieuwierzytelniony atakujący może wstrzyknąć wiadomość do dowolnej istniejącej rozmowy wsparcia, wysyłając e-mail z spreparowanym nagłówkiem In-Reply-To. Wiadomość jest wyświetlana jako odpowiedź klienta, a rozmowa jest automatycznie otwierana.

Podatność w FreeScout (wersje przed 1.8.221) w mechanizmie pobierania załączników. Nieuwierzytelniony atakujący może pobrać dowolny załącznik utworzony przez starszą wersję, ponieważ pomijane jest uwierzytelnianie tokenem dla załączników z typem tokena legacy.

FreeScout, darmowe narzędzie help desk, przed wersją 1.8.219 posiada podatność w punkcie końcowym śledzenia otwarć GET /thread/read/{conversation_id}/{thread_id}. Nieuwierzytelnieni atakujący mogą wyliczać prawidłowe identyfikatory konwersacji i wątków oraz modyfikować znacznik czasu opened_at bez autoryzacji.

W systemie FreeScout (wersje przed 1.8.221) użytkownik niebędący administratorem może trwale usunąć wewnętrzną notatkę (prywatny wątek) z dowolnej konwersacji, nawet po cofnięciu dostępu do skrzynki pocztowej. Polityka autoryzacji ThreadPolicy::delete nie sprawdza członkostwa w skrzynce, co pozwala byłemu członkowi zespołu na niszczący zapis notatek. Podatność naprawiona w wersji 1.8.221.

W systemie FreeScout (wersje przed 1.8.221) w metodzie ThreadPolicy::edit brakuje sprawdzenia członkostwa w skrzynce pocztowej. Użytkownik z uprawnieniem PERM_EDIT_CONVERSATIONS, który utworzył wiadomość lub notatkę w skrzynce A, może zmienić treść tego wątku po usunięciu go przez administratora ze skrzynki A. Podatność naprawiona w wersji 1.8.221.

FreeScout przed wersją 1.8.220 zawiera podatność w potoku przetwarzania e-maili, gdzie identyfikatory wątku i użytkownika są wyodrębniane z nagłówka Message-ID bez weryfikacji HMAC. Atakujący może podszyć się pod adres agenta i wstrzyknąć wiadomości traktowane jako odpowiedzi agenta, które są automatycznie przekazywane klientom.

FreeScout przed wersją 1.8.219 posiada podatność w endpointcie resetowania hasła, która zwraca wizualnie różne odpowiedzi w zależności od tego, czy podany adres email należy do istniejącego konta użytkownika. Pozwala to nieuwierzytelnionym atakującym na enumerację prawidłowych adresów email agentów helpdesku.

FreeScout, system helpdesk oparty na Laravelu, zawiera błąd w funkcji checkIpByMask(), która sprawdza, czy adres IP zawiera znak '/'. Zwykłe adresy IP nigdy nie zawierają '/', więc funkcja zawsze zwraca false, nie sprawdzając zakresów CIDR. Prywatne zakresy 10.0.0.0/8 i 172.16.0.0/12 pozostają niechronione. Podatność dotyczy wersji przed 1.8.211.

FreeScout przed wersją 1.8.211 zawiera podatność na manipulację nagłówkiem Host, która pozwala atakującemu wstrzyknąć dowolną domenę do generowanych absolutnych URL-i. Prowadzi to do ładowania zewnętrznych zasobów i otwartego przekierowania. Łatka dostępna w wersji 1.8.211.