CVE-2022-29464

WSO2 RCE (CVE-2022-29464) Exploit.

Details

CVE-2022-29464 ist eine kritische Schwachstelle in WSO2, entdeckt von Orange Tsai. Die Schwachstelle ist ein nicht authentifizierter, uneingeschränkter Datei-Upload, der es nicht authentifizierten Angreifern ermöglicht, über das Hochladen bösartiger JSP-Dateien RCE auf WSO2-Servern zu erlangen.

Die angreifbare Upload-Route ist /fileupload, die von FileUploadServlet verarbeitet wird. Dies ist eine ungeschützte Route, wie wir in der Konfigurationsdatei indentity.xml sehen können:```xml

das `FileUploadServlet`, das bei [`init`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/FileUploadServlet.java#L71) und durch eine Reihe von Methodenaufrufen schließlich aus der Konfigurationsdatei `carbon.xml` mehrere Upload-Dateiformate/-Aktionen zusammen mit dem Objekt lädt, das jedes Format verarbeitet.```java
    public void init(ServletConfig servletConfig) throws ServletException {
        this.servletConfig = servletConfig;
        try {
            fileUploadExecutorManager = new FileUploadExecutorManager(bundleContext, configContext, webContext);
            //Registering FileUploadExecutor Manager as an OSGi service
            bundleContext.registerService(FileUploadExecutorManager.class.getName(), fileUploadExecutorManager, null);
        } catch (CarbonException e) {
            log.error("Exception occurred while trying to initialize FileUploadServlet", e);
            throw new ServletException(e);
        }
    }

der Konstruktor der FileUploadExecutorManager-Klasse sieht wie folgt aus:```java public FileUploadExecutorManager(BundleContext bundleContext, ConfigurationContext configCtx, String webContext) throws CarbonException { this.bundleContext = bundleContext; this.configContext = configCtx; this.webContext = webContext; this.loadExecutorMap(); }

der Konstruktor ruft die private Methode [`loadExecutorMap()`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/FileUploadExecutorManager.java#L131) auf, in der das Laden der Konfiguration erfolgt:```java
    private void loadExecutorMap() throws CarbonException {
        [snipped]
                try {
            documentElement = XMLUtils.toOM(serverConfiguration.getDocumentElement());
        } catch (Exception e) {
            String msg = "Unable to read Server Configuration.";
            log.error(msg);
            throw new CarbonException(msg, e);
        }
        [snipped]
        OMElement fileUploadConfigElement =
                documentElement.getFirstChildWithName(
                        new QName(ServerConstants.CARBON_SERVER_XML_NAMESPACE, "FileUploadConfig"));
        for (Iterator iterator = fileUploadConfigElement.getChildElements(); iterator.hasNext();) {
            OMElement mapppingElement = (OMElement) iterator.next();
            if (mapppingElement.getLocalName().equalsIgnoreCase("Mapping")) {
                OMElement actionsElement =
                        mapppingElement.getFirstChildWithName(
                                new QName(ServerConstants.CARBON_SERVER_XML_NAMESPACE, "Actions"));
                String confPath = System.getProperty(CarbonBaseConstants.CARBON_CONFIG_DIR_PATH);
        [snipped]

Die Konfiguration der Datei-Upload-Formate befindet sich im Namespace FileUploadConfig in der XML-Konfigurationsdatei. Dies ist die Standardkonfiguration:```xml 100

    <Mapping>
        <Actions>
            <Action>keystore</Action>
            <Action>certificate</Action>
            <Action>*</Action>
        </Actions>
        <Class>org.wso2.carbon.ui.transports.fileupload.AnyFileUploadExecutor</Class>
    </Mapping>

    <Mapping>
        <Actions>
            <Action>jarZip</Action>
        </Actions>
        <Class>org.wso2.carbon.ui.transports.fileupload.JarZipUploadExecutor</Class>
    </Mapping>
    <Mapping>
        <Actions>
            <Action>dbs</Action>
        </Actions>
        <Class>org.wso2.carbon.ui.transports.fileupload.DBSFileUploadExecutor</Class>
    </Mapping>
    <Mapping>
        <Actions>
            <Action>tools</Action>
        </Actions>
        <Class>org.wso2.carbon.ui.transports.fileupload.ToolsFileUploadExecutor</Class>
    </Mapping>
    <Mapping>
        <Actions>
            <Action>toolsAny</Action>
        </Actions>
        <Class>org.wso2.carbon.ui.transports.fileupload.ToolsAnyFileUploadExecutor</Class>
    </Mapping>
</FileUploadConfig>

Die Methode `loadExecutorMap()` erstellt und befüllt eine `HashMap` vom Typ `<Action, Class>` mit den Aktionen und den Klassen, die aus der Konfigurationsdatei extrahiert wurden. Diese wird später verwendet, um auszuwählen, welche Klasse ein bestimmtes Format/eine bestimmte Aktion ordnungsgemäß behandeln soll.

Später, wenn die Route `/fileupload` eine POST-Anfrage erhält, wird die Methode [`doPost()`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/FileUploadServlet.java#L53) des Servlets aufgerufen. Die Methode leitet das Anfrage- und Antwortobjekt lediglich an die Methode `execute()` von `fileUploadExecutorManager` weiter, der in `init()` initialisiert wurde.```java
    protected void doPost(HttpServletRequest request,
                          HttpServletResponse response) throws ServletException, IOException {

        try {
            fileUploadExecutorManager.execute(request, response);
        } catch (Exception e) {
            String msg = "File upload failed ";
            log.error(msg, e);
            throw new ServletException(e);
        }
    }

die execute()-Methode die Anfrage-URL direkt nach der Zeichenkette fileupload/ aufteilt, was bedeutet, dass alles, was in der Anfrage-URL nach /fileupload/ folgt, extrahiert und actionString zugewiesen wird.```java public boolean execute(HttpServletRequest request, HttpServletResponse response) throws IOException {

    HttpSession session = request.getSession();
    String cookie = (String) session.getAttribute(ServerConstants.ADMIN_SERVICE_COOKIE);
    request.setAttribute(CarbonConstants.ADMIN_SERVICE_COOKIE, cookie);
    request.setAttribute(CarbonConstants.WEB_CONTEXT, webContext);
    request.setAttribute(CarbonConstants.SERVER_URL,
                         CarbonUIUtil.getServerURL(request.getSession().getServletContext(),
                                                   request.getSession()));


    String requestURI = request.getRequestURI();

    //TODO - fileupload is hardcoded
    int indexToSplit = requestURI.indexOf("fileupload/") + "fileupload/".length();
    String actionString = requestURI.substring(indexToSplit);