MAL-012: Reflektiertes Cross-Site-Scripting in der Admin-Konsole, das zu Remote-Code-Ausführung im Payara Server führt

In der Payara Admin-Konsole wurde ein Angriff mit reflektiertem Cross-Site-Scripting (XSS) gefunden. Indem ein Angreifer einen Admin-Benutzer dazu bringt, die bösartige URL aufzurufen und auf die Schaltfläche “Choose File” zu klicken, kann er beliebigen JavaScript-Code ausführen, sich als der Benutzer ausgeben und Admin-Funktionen für böswillige Zwecke nutzen.

Da das XSS in der Payara Admin-Konsole auftritt, kann ein Angreifer dies nutzen, um beliebige Anfragen auszuführen, die Admin-Funktionen ausnutzen (z. B. H2 Connection Strings, Web Application Deployment usw.), um Remote-Code-Ausführung (RCE) zu erlangen.

Warum keine CVE?

Ich habe mir nicht die Mühe gemacht, für ein reflektiertes XSS aus dem Jahr 2022 eine CVE zu beantragen, aber da ich ziemlich angetan von dem auf “fetch” basierenden JS-Skript bin, das zu RCE führt, und von dem HTML-Trick mit " target="_blank" ", habe ich beschlossen, diesen Writeup zu veröffentlichen. Ich hoffe, du findest ihn nützlich/unterhaltsam.

Voraussetzungen:

Diese Schwachstelle erfordert:

• Einen legitimen Payara-Server-Adminbenutzer davon zu überzeugen, die bösartige URL aufzurufen und auf die Schaltfläche “Choose File” zu klicken

Proof Of Concept:

Weitere Details und der Ausnutzungsprozess sind in diesem PDF zu finden.

Zeitleiste:

• Die H2-RCE wurde am 22-Mar-2022 an [email protected] gemeldet
• Die RCE wurde als nicht relevant eingestuft, da sie nach der Authentifizierung in der Admin-Konsole erfolgt, die weitere Kernfunktionen wie das Bereitstellen von WARs enthält
• Das reflektierte XSS in der Admin-Konsole, das zur Ausführung der RCE genutzt werden kann, wurde am 25-Mar-2022 gefunden und gemeldet
• Die letzte E-Mail wurde am 01-Apr-2022 gesendet; seitdem ist keine Kommunikation mehr eingegangen
• Die Schwachstelle wurde am 13-Apr-2025 öffentlich offengelegt