MAL-001: حقن القوالب من جهة الخادم عبر FreeMarker في Liferay Portal

تم اكتشاف ثغرة في Liferay - Portal <=7.4.3.12-ga12. من خلال إدراج محتوى ضار في قوالب FTL، قد يتمكن المهاجم من تنفيذ هجمات SSTI (حقن القوالب من جهة الخادم)، والتي يمكنها استغلال الكائنات المكشوفة في FreeMarker لتجاوز القيود وتنفيذ SSRF (تزوير الطلبات من جهة الخادم)، وقراءة ملفات تعسفية و/أو الحصول على RCE (تنفيذ الأكواد عن بُعد).

ملاحظة: ترجع هذه الثغرة إلى إصلاح غير مكتمل لـ CVE-2020-13445.

لماذا لا يوجد CVE؟

Liferay جزء من برنامج MITRE CNAs، وقد قرروا أنه، نظرًا لصلاحيات المستخدم المطلوبة لاستغلال ثغرة SSTI، فإن الثغرة لا تمثل خطرًا كبيرًا بما يكفي لاستحقاق CVE أو نشرة أمنية.

المتطلبات:

تتطلب هذه الثغرة:

• بيانات اعتماد مستخدم صالحة بدور "المستخدم المتقدم" أو "مسؤول الموقع" أو "مالك الموقع"

إثبات المفهوم:

يمكن العثور على مزيد من التفاصيل وعملية الاستغلال في هذا PDF.

موارد إضافية:

الثغرة الأولية الثغرة (CVE-2020-13445) ومقال المدونة بقلم Alvaro "pwntester" Munoz الذي ألهم البحث في SSTI واكتشاف هذه الثغرة.

ناقل RCE عبر HSQL مستوحى من مقال المدونة «تنفيذ الأكواد عن بُعد في F5 Big‑IP» بقلم Mikhail Klyuchnikov.

الخط الزمني:

• تم الإبلاغ عن هذه الثغرة مبدئيًا إلى [email protected] في 26-Feb-2022
• اعتُبرت الثغرة مسألة غير جوهرية لأن "صلاحية تعديل القوالب يجب أن تُمنح للمستخدمين الموثوقين فقط"
• أُعيد اختبار الثغرة في 18-Jan-2023 ولوحظ ما يلي:
  • تم تصحيح ناقلي قراءة الملفات التعسفية وSSRF
  • تمت معالجة RCE من خلال تصحيح HSQL الخاص بـ CVE-2022-41853
• تم الكشف عن الثغرة علنًا في 03-Jan-2024