CVE-2023-38885

O OpenSIS Classic Community Edition 9.0 vem sem proteção contra CSRF em nenhuma parte da aplicação. Isso significa que toda ação que altera estado — criar contas, alterar registros, mudar configurações — pode ser forjada: se um atacante conseguir que um usuário autenticado carregue uma página maliciosa enquanto sua sessão do OpenSIS está ativa, o navegador submete silenciosamente a requisição do atacante sob a identidade daquele usuário. Contra uma sessão de administrador, isso alcança tudo o que o administrador pode fazer.

A barreira é a engenharia social, razão pela qual isso se apoia em interação do usuário em vez de ser uma tomada remota direta. Mas a ausência de proteção em toda a aplicação torna isso abrangente, não cirúrgico — um atacante não fica limitado a uma ação forjável, ele pode mirar qualquer uma delas. Sistemas de informação estudantil guardam registros sensíveis de menores e são administrados por funcionários fora da área de segurança, exatamente a população em que uma isca convincente funciona.

Como a exploração passa pelo navegador da vítima, nossa alavanca é detecção e enquadramento defensivo na borda — observar requisições que alteram estado chegando com referrers de fora do site ou ausentes, e reforçar que administradores mantenham as sessões do OpenSIS separadas da navegação geral. Priorizamos instâncias em que o console de administração é amplamente alcançável, já que uma audiência maior de usuários logados é o que transforma uma lacuna de CSRF em toda a aplicação em um ataque prático.