CVE-2023-49964: FreeMarker Server-Side Template Injection in Alfresco

In Hyland Alfresco Community Edition <=7.2.0 wurde ein Problem entdeckt. Durch das Einfügen von schädlichem Inhalt in die Datei folder.get.html.ftl kann ein Angreifer SSTI-Angriffe (Server-Side Template Injection) durchführen, die exponierte FreeMarker-Objekte ausnutzen können, um Einschränkungen zu umgehen und RCE (Remote Code Execution) zu erreichen.

Hinweis: Dieses Problem besteht aufgrund einer unvollständigen Behebung für CVE-2020-12873.

NVD-Offenlegung:

Die Offenlegung für diese Schwachstelle finden Sie hier.

Anforderungen:

Diese Schwachstelle erfordert:

• Gültige Benutzerzugangsdaten

Proof Of Concept:

Weitere Details und der Ausnutzungsprozess können in diesem PDF gefunden werden.

Zusätzliche Ressourcen:

Die ursprüngliche Schwachstelle (CVE-2020-12873) und der von , die die SSTI-Forschung und das Auffinden dieser Schwachstelle inspiriert haben.