CVE-2025-9602

چکیده

آسیب‌پذیری احراز هویت نادرست  (Improper Authorization)در Xinhu RockOA تا نسخه 2.6.9 شناسایی شده است. این آسیب پذیری در تابع publicsaveAjax در فایل  /index.php به دلیل عدم بررسی‌های کافی احراز هویت ایجاد می شود. در نتیجه، کاربران با سطح دسترسی پایین قادر خواهند بود بدون مجوز معتبر، داده‌های پایگاه داده را تغییر داده یا ایجاد کنند. این مسئله زمینه‌ساز افزایش سطح دسترسی عمودی و افزایش سطح دسترسی افقی است.

توضیحات

آسیب‌پذیری CVE-2025-9602 از نوع احراز هویت نادرست (مطابق با CWE-285) و تخصیص نادرست سطح دسترسی (مطابق با CWE-266) است. این آسیب پذیری در تابع publicsaveAjax فایل /index.php رخ می‌دهد، جایی که تنها بررسی ورود کاربر انجام می‌شود و هیچ بررسی احراز هویت اضافی برای محدود کردن دسترسی وجود ندارد. این امر به کاربران با دسترسی سطح پایین اجازه می‌دهد از راه دور بدون نیاز به تعامل کاربر داده‌های پایگاه داده را دستکاری کنند. پیامد های آن شامل تاثیر محدود بر محرمانگی، یکپارچگی و در دسترس پذیری است.

کد اثبات مفهومی (PoC) منتشرشده نشان می‌دهد که یک کاربر با دسترسی پایین می‌تواند با ارسال درخواست POST به /xinhu-master/index.php?a=publicsave&m=index&d=&ajaxbool=true اقداماتی مانند ثبت حضور و غیاب (check-in) را برای خود یا سایر کاربران انجام دهد، در حالی که این اقدامات معمولاً نیاز به دسترسی ادمین دارند. این موضوع نشان‌دهنده افزایش دسترسی عمودی (دورزدن قابلیت‌های محدود به ادمین) و افزایش دسترسی افقی (دستکاری داده‌های سایر کاربران) است. تاکنون تیم Xinhu هیچ گونه به روزرسانی یا پچ رسمی برای این آسیب پذیری منتشر نکرده است.

CVSS

 لیست محصولات آسیب پذیر

 نتیجه گیری

ضعف در مکانیزم احراز هویت و تخصیص سطح دسترسی، مهاجمان با دسترسی سطح پایین را قادر می‌سازد تا با پیچیدگی کم اقدام به افزایش سطح دسترسی افقی و عمودی کرده و داده‌های پایگاه داده یا عملیات حساس را دستکاری کنند. بنابراین برای کاهش اثرات این تهدید، اقدامات کاهش ریسک زیر توصیه می‌شود:

• محدودسازی دسترسی شبکه: مسدود کردن رابط مدیریت از اینترنت عمومی و محدود کردن آن به شبکه داخلی یا VPN.
• تقویت احراز هویت: تغییر گذرواژه‌های پیش‌فرض و استفاده از رمزهای عبور قوی و منحصربه‌فرد.
• نظارت بر ترافیک: مانیتورینگ درخواست‌های مشکوک به مسیر /index.php و شناسایی فعالیت‌های غیرمجاز.
• استفاده از فایروال اپلیکیشن وب (WAF): پیاده‌سازی سیاست‌های فیلترینگ برای جلوگیری از سوءاستفاده در تابع publicsaveAjax.
• اعمال کنترل‌های سطح دسترسی: اطمینان از اعتبارسنجی دقیق سطح دسترسی پیش از اجرای عملیات پایگاه داده.
• پشتیبان‌گیری منظم: تهیه نسخه‌های پشتیبان از داده‌های حساس جهت بازیابی سریع در صورت وقوع حمله.
• جایگزینی سیستم: در صورت تداوم عدم پاسخگویی توسعه دهنده، جایگزینی RockOA با راهکار امن‌تر توصیه می‌شود.
• بررسی مداوم منابع امنیتی: بررسی مداوم منابعی معتبر برای دریافت راهکارها و به‌روزرسانی‌های احتمالی.

اجرای این اقدامات می‌تواند به شکل قابل توجهی احتمال بهره‌برداری موفق از این آسیب‌پذیری را کاهش داده و تداوم امنیتی سامانه‌های مبتنی بر RockOA را تضمین کند.

امکان استفاده در تاکتیک های Mitre Attack

Initial Access (TA0001)

• T1078 – Valid Accounts
  مهاجم می‌تواند با استفاده از حساب‌های کاربری کم‌سطح (Low-Privileged Accounts) وارد سیستم شده و از آسیب‌پذیری احراز هویت نادرست در مسیر /index.php استفاده کند تا دسترسی غیرمجاز به داده‌های سیستم پیدا کند.

Execution (TA0002)

• T1203 – Exploitation for Client Execution
  مهاجم می‌تواند با ارسال درخواست POST مخرب به مسیر آسیب‌پذیر /index.php?a=publicsave&m=index&d=&ajaxbool=true از آسیب‌پذیری احراز هویت نادرست سوءاستفاده کرده و عملیات‌های حساس مانند ثبت حضور و غیاب را بدون نیاز به دسترسی ادمین انجام دهد.

Privilege Escalation (TA0004)

• T1068 – Exploitation for Privilege Escalation
  مهاجم می‌تواند با سوءاستفاده از آسیب‌پذیری احراز هویت نادرست، سطح دسترسی خود را از کاربر عادی به سطح بالاتر (ادمین) ارتقا دهد و به اطلاعات حساس پایگاه داده دسترسی پیدا کند.

Persistence (TA0003)

• T1547 – Boot or Logon Autostart Execution
  در این آسیب‌پذیری، مهاجم می‌تواند دسترسی مداوم ایجاد کند و با تغییرات در تنظیمات سیستم یا پایگاه داده، پس از هر ورود دوباره به سیستم، اقدامات بیشتری انجام دهد.

Defense Evasion (TA0005)

• T1070 – Indicator Removal on Host
  مهاجم ممکن است لاگ‌های سیستم را حذف کرده یا تنظیمات امنیتی را تغییر دهد تا ردپای خود را مخفی کند و امکان شناسایی را کاهش دهد.

Credential Access (TA0006)

• T1552 – Unsecured Credentials
  در صورتی که مهاجم به‌طور موفق وارد سیستم شود، ممکن است دسترسی به اطلاعات حساس مانند نام‌کاربری‌ها و رمزهای عبور ذخیره‌شده در پایگاه داده را به‌دست آورد.

Impact (TA0040)

• T1068 – Exploitation for Privilege Escalation
  مهاجم با بهره‌برداری از آسیب‌پذیری احراز هویت نادرست می‌تواند سطح دسترسی خود را از یک کاربر معمولی به یک کاربر با سطح دسترسی بالا (ادمین) ارتقا دهد، بدون نیاز به مجوزهای معتبر.
• T1071 – Application Layer Protocol
  مهاجم با ارسال درخواست‌های HTTP POST به مسیر آسیب‌پذیر /index.php ممکن است داده‌های پایگاه داده را تغییر دهد یا عملیات‌های حساس را که معمولاً نیاز به دسترسی ادمین دارند، انجام دهد.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-9602
2. https://www.cvedetails.com/cve/CVE-2025-9602/
3. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-9602
4. https://vuldb.com/?submit.636383
5. https://vuldb.com/?id.321778
6. https://vuldb.com/?ctiid.321778
7. https://github.com/rainrocka/xinhu/issues/9
8. https://github.com/rainrocka/xinhu/issues/9#issue-3327894144
9. https://nvd.nist.gov/vuln/detail/CVE-2025-9602
10. https://cwe.mitre.org/data/definitions/285.html
11. https://cwe.mitre.org/data/definitions/266.html