Chamilo LMS — это система управления обучением с открытым исходным кодом. В версии 2.0-RC.2 файл public/main/inc/ajax/install.ajax.php доступен без аутентификации на полностью установленных экземплярах, поскольку, в отличие от других конечных точек AJAX, он не включает файл global.inc.php, который выполняет проверки аутентификации и завершения установки. Его действие test_mailer принимает произвольную строку DSN Symfony Mailer из данных POST и использует ее для подключения к указанному злоумышленником SMTP-серверу, включая подделку запросов на стороне сервера (SSRF) во внутренние сети через протокол SMTP.
Злоумышленник, не прошедший проверку подлинности, также может злоупотребить этим, чтобы использовать сервер Chamilo в качестве открытого ретранслятора электронной почты для фишинговых и спам-кампаний, при этом электронные письма будут выглядеть исходящими с IP-адреса сервера. Кроме того, ответы об ошибках от неудачных SMTP-соединений могут раскрывать информацию о топологии внутренней сети и запущенных службах. Эта проблема исправлена в версии 2.0.0-RC.3.
Показать оригинальное описание (EN)
Chamilo LMS is an open-source learning management system. In version 2.0-RC.2, the file public/main/inc/ajax/install.ajax.php is accessible without authentication on fully installed instances because, unlike other AJAX endpoints, it does not include the global.inc.php file that performs authentication and installation-completed checks. Its test_mailer action accepts an arbitrary Symfony Mailer DSN string from POST data and uses it to connect to an attacker-specified SMTP server, enabling Server-Side Request Forgery (SSRF) into internal networks via the SMTP protocol. An unauthenticated attacker can also abuse this to weaponize the Chamilo server as an open email relay for phishing and spam campaigns, with emails appearing to originate from the server's IP address. Additionally, error responses from failed SMTP connections may disclose information about internal network topology and running services. This issue has been fixed in version 2.0.0-RC.3.
Характеристики атаки
Последствия
Строка CVSS v3.1