nguyenv1nk/cve-2022-22954CVE-2022-22954 analyst
Workspace ONE Access (ein Modell zur Bereitstellung von Arbeitsbereichen als Dienstleistung) bietet Multi-Faktor-Authentifizierung, Single Sign-On und bedingten Zugriff für SaaS, Web- und mobile Anwendungen. CVE-2022-22954 ist eine Sicherheitslücke durch Serverseitige Template-Injection, die in folgenden Produkten vorhanden ist:
Laden Sie die OVA-Datei von VMware Workspace ONE Access Appliance Version 21.08.0.1 herunter.
Öffnen Sie die Datei mit VMware Workstation. Die virtuelle Maschine muss im NAT-Netzwerk platziert werden.
Konfigurieren Sie unter Networking Properties den Hostnamen (FQDN).
Nach Abschluss der Installation rufen Sie https://{{hostname}}:8443/ auf, um das Passwort für das Anwendungskonto, das SSH-Konto und die Datenbank der Anwendung zu konfigurieren. Die Anwendung läuft unter https://{{hostname}}/.
Melden Sie sich mit dem Benutzer sshuser an der VM an und wechseln Sie zum Root-Konto. Der Anwendungspfad befindet sich unter /opt/vmware/horizon/workspace/. Der Quellcode der Anwendung liegt im Verzeichnis /opt/vmware/horizon/workspace/webapps.
Überprüfen Sie die Datei /opt/vmware/horizon/workspace/bin/setenv.sh. Die Variable JAVA_OPTS kann für das Remote-Debugging konfiguriert werden.
Fügen Sie -agentlib:jdwp=transport=dt_socket,server=y,address=5005,suspend=n zu JAVA_OPTS hinzu und starten Sie den Dienst neu.
`systemctl restart horizon-workspace.service`
Laden Sie die Hotfix-Datei HW-154129-applyWorkaround.py
In den Schritten wird die Datei templates/customError.ftl aus der Anwendung entfernt.
In der Datei customError.ftl existiert die Funktion eval. Der Fehler Freemarker SSTI kann von hier aus ausgenutzt werden, wenn der Wert von errorObj kontrolliert werden kann.
In der Klasse com.vmware.enusercatalog.ui.web.UiErrorController sehen wir, dass die Funktion handleGenericError den Wert in errorObj über die Variable errorMessage setzt.
Verfolgen Sie die Funktionsaufrufe und den Parameter errorMessage weiter.
Die Funktion handleUnauthorizedError
Die Funktion getErrorPage
Bei den beiden Funktionen sendError und sendUnhandledError wird der Wert von errorMessage aus der Eigenschaft javax.servlet.error.message übernommen.
In der Klasse com.vmware.endusercatalog.ui.web.UiApplicationExceptionResolver wird der Eigenschaft javax.servlet.error.message in der Funktion resolverExeption ein Wert zugewiesen.
Die Funktion handleAnyGenericExeption ist mit der Annotation @ExceptionHandler versehen.
In der Klasse com.vmware.endusercatalog.ui.UiApplication befindet sich in den mit @ComponentScan markierten Paketen auch com.vmware.endusercatalog.auth.
=> Ausnahmen (Exceptions) in diesem Paket können von der Funktion handleAnyGenericExeption abgefangen werden.
In com.vmware.endusercatalog.ui.config wird der Interceptor AuthContextPopulationInterceptor mit den Pfaden /ui, /hub-ui, /hub-ui/byob, /logout, /ui/oauth/verify hinzugefügt.
Weiterleitung zur Klasse com.vmware.endusercatalog.auth.interceptor.AuthContextPopulationInterceptor. In der Funktion preHandle empfängt die Anwendung die beiden Parameter deviceUdid und deviceType und ruft die Funktion authContextBuilder auf.
In der Klasse com.vmware.endusercatalog.auth.interceptor.AuthContext tritt die Exception InvalidAuthContextException auf, wenn die Bedingung this.isValidRequest nicht erfüllt ist.
Damit isValidRequest erfüllt ist, müssen die beiden Parameter this.deviceId und this.deviceType entweder beide leer oder beide mit einem Wert versehen sein.
=> Wenn nur einer der beiden Parameter einen Wert erhält, tritt hier ein Fehler auf.
Senden Sie die folgende Anfrage:
GET /catalog-portal/ui/oauth/verify?deviceUdid=111
Es erscheint der Fehler:
An unexpected error occurred while processing request with requestId: {0}.
Zurück in der Funktion com.vmware.endusercatalog.ui.web.WorkspaceOauth2CodeVerificationController stellen wir fest, dass der obige Fehler aufgrund des fehlenden erforderlichen Parameters error auftritt.
@GetMapping(
value = {"/ui/oauth/verify"},
params = {"error"}
)
@ApiOperation(
value = "authorizeError",
notes = ""
)
public void authorizeError(@ApiParam @RequestParam String error, @ApiParam @RequestParam(name = "error_description") String errorDescription, @ApiParam @RequestParam(defaultValue = "/admin/") String state) {
LOGGER.debug("Failed to obtain authorization code due to {}:{} received for {}", new Object[]{error, errorDescription, state});
throw new AuthorizationCodeFailedRetrievalException(new Object[]{error, state});
}
Senden Sie erneut die Anfrage:
GET /catalog-portal/ui/oauth/verify?error=&deviceUdid=111abc
Der Wert von deviceUdid erscheint in der Antwort.
Fügen Sie einen Parameter ein, der einen SSTI-Fehler von Freemarker auslöst.
Senden Sie die Anfrage mit dem Wert:
deviceUdid=${"freemarker.template.utility.Execute"?new()("cat /etc/passwd")}
