CVE-2022-34919

El Contensis Content Management System anterior a la versión 15.2.1.79 tiene una falla en su interfaz 'Classic' que permite a un usuario no autenticado cargar y aprobar archivos arbitrarios. Al cargar un archivo aspx, es posible ejecutar comandos en el contexto del servidor web.

Esta vulnerabilidad fue descubierta en marzo de 2022 y corregida por Zengenti en su versión del 8 de abril de 2022.

Pasos para reproducir:

1:

La carga inicial del archivo se realiza mediante una solicitud POST al siguiente endpoint:

https://[example].cloud.contensis.com/REST/UI/Wizards/CreateContent/UploadFile?folderId=1&projectId=1&context=%7B%22UserID%22%3A1%2C%22LanguageID%22%3A1%2C%22SecurityToken%22%3A%22%22%7D

El parámetro context indica qué usuario está cargando el archivo; en este caso, UserId 1, Administrador del sistema. El parámetro SecurityToken es obligatorio, pero puede dejarse en blanco. Esta solicitud (captura de pantalla 1) genera un archivo temporal en el servidor con un UUID. En este ejemplo, utilicé una webshell disponible en: https://github.com/tennc/webshell/blob/master/fuzzdb-webshell/asp/cmd.aspx

2:

A continuación, el archivo debe ser aprobado con una solicitud POST al siguiente endpoint:

https://[example].cloud.contensis.com/REST/UI/Wizards/CreateContent/CreateContent

Esta solicitud (captura de pantalla 2) incluirá la ruta al archivo temporal de la solicitud inicial y parámetros para aprobar su publicación y modificar el tipo de contenido para evadir las restricciones de archivos. En este caso, ContentTypeId está establecido en 43, lo que indica que se trata de un documento HTML, en lugar de ASPX. El archivo queda entonces disponible en los dominios 'preview' y 'live' siguientes:

https://preview-[example].cloud.contensis.com/cmd2.aspx

https://iis-live-[example].cloud.contensis.com/cmd2.aspx

3:

Sé responsable y prueba esto únicamente en hosts autorizados (captura de pantalla 3)