Strapi v4.1.12

Schwachstellenerklärung:

Eine uneingeschränkte Datei-Upload-Sicherheitslücke in der Funktion „Add New Assets“ von Strapi v4.1.12 ermöglicht es Angreifern, über eine präparierte Datei beliebigen Code auszuführen.

Angriffsvektoren:

• Nach dem Hochladen einer Datei mit schädlichem Inhalt wird dieser ausgeführt, sobald der Benutzer den Link zur Datei öffnet.

Payload :

https://github.com/bypazs/GrimTheRipper/blob/main/GrimTheRipperTeam.pdf

Getestet auf:

1. Strapi Version 4.1.12
2. Google Chrome Version 102.0.5005.61 (Offizieller Build) (64-bit)

Betroffene Komponente:

• Auf der Seite „Media Library“ ist es erlaubt, Dateien mit schädlichem Inhalt auf das System hochzuladen.

Angriffsschritte:

1. Melden Sie sich mit einem Benutzer an, der die Berechtigung zum Hochladen von Dateien hat.
2. Klicken Sie auf das Menü „Media Library“ und dann auf „+ Add new assets“.
3. Klicken Sie auf den Button „Browse files“ und wählen Sie dann die vorbereitete Datei mit schädlichem Inhalt aus.
4. Klicken Sie dann auf den Button „Upload 1 asset to the library“, um die Datei auf das System hochzuladen.
5. Klicken Sie in der Ecke der Datei auf „Edit“ und dann auf „Copy link“.
6. Fügen Sie den Link in einem neuen Tab ein – es wird angezeigt, dass der XSS-Payload ausgeführt wurde.

Entdecker:

:shipit: Grim The Ripper Team von SOSECURE Thailand

Medium:

• https://grimthereaperteam.medium.com/strapi-v4-1-12-unrestricted-file-upload-b993bfd07e4e

Offenlegungszeitplan:

• 2022–05–29: Sicherheitslücke entdeckt.
• 2022–05–29: Sicherheitslücke an die MITRE Corporation gemeldet.
• 2022–07–14: CVE reserviert.
• 2022–05–29: Öffentliche Offenlegung der Sicherheitslücke.

Referenzen:

1. https://github.com/strapi/strapi
2. https://strapi.io/
3. https://github.com/bypazs/strapi
4. https://grimthereaperteam.medium.com/strapi-v4-1-12-unrestricted-file-upload-b993bfd07e4e