CVE-2022-29464

Exploit e informe de WSO2 RCE (CVE-2022-29464).

Detalles

CVE-2022-29464 es una vulnerabilidad crítica en WSO2 descubierta por Orange Tsai. La vulnerabilidad es una carga arbitraria de archivos sin restricciones y sin autenticación que permite a atacantes no autenticados obtener RCE en servidores WSO2 mediante la carga de archivos JSP maliciosos.

la ruta de carga vulnerable es /fileupload, que es manejada por el servlet FileUploadServlet. y es una ruta no protegida por IAM, como se puede ver en el archivo de configuración indentity.xml:```xml

Y también desprotegido por la medida de inicio de sesión predeterminada, `handleSecurity()` es la función responsable de asegurar las diferentes rutas servidas por WSO2 y proporciona un mecanismo para realizar comprobaciones de seguridad en las solicitudes HTTP recibidas, `handleSecurity()` llamará a `CarbonUILoginUtil.handleLoginPageRequest()` y, basándose en su valor de retorno, se decidirá permitir o denegar el acceso a la URI solicitada:```java
    public boolean handleSecurity(HttpServletRequest request, HttpServletResponse response)
            throws IOException {
	[snipped]
        if ((val = CarbonUILoginUtil.handleLoginPageRequest(requestedURI, request, response,
                authenticated, context, indexPageURL)) != CarbonUILoginUtil.CONTINUE) {
            if (val == CarbonUILoginUtil.RETURN_TRUE) {
                return true;
            } else {
                return false;
            }
        }
	[snipped]
    }

[`execute()`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/FileUploadExecutorManager.java#L430) recorre el `HashMap` de `<Action, Class>` creado anteriormente y encuentra la Acción (clave) que es igual a `actionString`, si se encuentra, se llamará al método `executeGeneric()` del objeto asociado a esa Acción. para revisar, la configuración predeterminada tiene 7 acciones que son: * `keystore`, `certificate`, `*` manejadas por `org.wso2.carbon.ui.transports.fileupload.AnyFileUploadExecutor` * `jarZip` manejada por `org.wso2.carbon.ui.transports.fileupload.JarZipUploadExecutor` * `dbs` manejada por `org.wso2.carbon.ui.transports.fileupload.DBSFileUploadExecutor` * `tools` manejada por `org.wso2.carbon.ui.transports.fileupload.ToolsFileUploadExecutor` * `toolsAny` manejada por `org.wso2.carbon.ui.transports.fileupload.ToolsAnyFileUploadExecutor` cada uno de estos objetos maneja la subida de forma diferente, algunos de ellos aceptan extensiones específicas. la primera que encontré vulnerable a escritura arbitraria de archivos fue `toolsAny` ([`ToolsAnyFileUploadExecutor`](https://github.com/wso2/carbon-kernel/blob/4.4.x/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/ToolsAnyFileUploadExecutor.java)). `ToolsAnyFileUploadExecutor` no tiene un método `executeGeneric()` pero extiende [`AbstractFileUploadExecutor`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/AbstractFileUploadExecutor.java#L61) el cual sí tiene un método [`executeGeneric()`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/AbstractFileUploadExecutor.java#L97):```java boolean executeGeneric(HttpServletRequest request, HttpServletResponse response, ConfigurationContext configurationContext) throws IOException {//, // CarbonException { this.configurationContext = configurationContext; try { parseRequest(request); return execute(request, response); } catch (FileUploadFailedException e) { sendErrorRedirect(request, response, e); } catch (FileSizeLimitExceededException e) { sendErrorRedirect(request, response, e); } catch (CarbonException e) { sendErrorRedirect(request, response, e); } return false; }

ServletRequestContext servletRequestContext = new ServletRequestContext(request); boolean isMultipart = ServletFileUpload.isMultipartContent(servletRequestContext); Long totalFileSize = 0L; if (isMultipart) { List items; try { items = parseRequest(servletRequestContext); } catch (FileUploadException e) { String msg = "File upload failed"; log.error(msg, e); throw new FileUploadFailedException(msg, e); } boolean multiItems = false; if (items.size() > 1) { multiItems = true; } // Add the uploaded items to the corresponding maps. for (Iterator iter = items.iterator(); iter.hasNext();) { FileItem item = (FileItem) iter.next(); String fieldName = item.getFieldName().trim(); if (item.isFormField()) { if (formFieldsMap.get().get(fieldName) == null) { formFieldsMap.get().put(fieldName, new ArrayList<String>()); } try { formFieldsMap.get().get(fieldName).add(new String(item.get(), "UTF-8")); } catch (UnsupportedEncodingException ignore) { } } else { String fileName = item.getName(); if ((fileName == null || fileName.length() == 0) && multiItems) { continue; } if (fileItemsMap.get().get(fieldName) == null) { fileItemsMap.get().put(fieldName, new ArrayList<FileItemData>()); } totalFileSize += item.getSize(); if (totalFileSize < totalFileUploadSizeLimit) { fileItemsMap.get().get(fieldName).add(new FileItemData(item)); } else { throw new FileSizeLimitExceededException(getFileSizeLimit() / 1024 / 1024); } } } } }

primero se asegura de que la solicitud POST sea una solicitud POST multipart, luego extrae los archivos subidos, se asegura de que la solicitud POST contenga al menos un archivo subido y lo valida contra el tamaño máximo de archivo. después de retornar de `parseRequest()`, `executeGeneric()` llamará ahora al método `execute()` que es [sobrescrito](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/ToolsAnyFileUploadExecutor.java#L36) por `ToolsAnyFileUploadExecutor`:```java @Override public boolean execute(HttpServletRequest request, HttpServletResponse response) throws CarbonException, IOException { PrintWriter out = response.getWriter(); try { Map fileResourceMap = (Map) configurationContext .getProperty(ServerConstants.FILE_RESOURCE_MAP); if (fileResourceMap == null) { fileResourceMap = new TreeBidiMap(); configurationContext.setProperty(ServerConstants.FILE_RESOURCE_MAP, fileResourceMap); } List<FileItemData> fileItems = getAllFileItems(); //String filePaths = ""; for (FileItemData fileItem : fileItems) { String uuid = String.valueOf( System.currentTimeMillis() + Math.random()); String serviceUploadDir = configurationContext .getProperty(ServerConstants.WORK_DIR) + File.separator + "extra" + File .separator + uuid + File.separator; File dir = new File(serviceUploadDir); if (!dir.exists()) { dir.mkdirs(); } File uploadedFile = new File(dir, fileItem.getFileItem().getFieldName()); try (FileOutputStream fileOutStream = new FileOutputStream(uploadedFile)) { fileItem.getDataHandler().writeTo(fileOutStream); fileOutStream.flush(); } response.setContentType("text/plain; charset=utf-8"); //filePaths = filePaths + uploadedFile.getAbsolutePath() + ","; fileResourceMap.put(uuid, uploadedFile.getAbsolutePath()); out.write(uuid); } //filePaths = filePaths.substring(0, filePaths.length() - 1); //out.write(filePaths); out.flush(); } catch (Exception e) { log.error("File upload FAILED", e); out.write("<script type=\"text/javascript\">" + "top.wso2.wsf.Util.alertWarning('File upload FAILED. File may be non-existent or invalid.');" + "</script>"); } finally { out.close(); } return true; }

CVE-2022-29464

Más Populares

CVE-2022-29464

Detalles