illera88/cve-2021-21239Exploit para CVE-2021-21239: bypass de validación de firma SAML en pysaml2/Redash. Forja respuestas SAML con claves públicas incrustadas para suplantar usuarios y escalar privilegios mediante aprovisionamiento JIT.
Security Assertion Markup Language (SAML) es un estándar abierto para intercambiar datos de autenticación y autorización entre partes en un sistema de identidad federada. Permite el inicio de sesión único (SSO) entre dominios. Los componentes clave son:
En un flujo SAML típico, el SP redirige al usuario al IdP para la autenticación. El IdP devuelve una respuesta SAML firmada que contiene aserciones sobre el usuario (por ejemplo, correo electrónico, nombre). El SP valida la firma y aprovisiona o inicia sesión del usuario.
CVE-2021-21239 es una vulnerabilidad de omisión de validación de firma en la librería pysaml2 (versiones <6.5.0), utilizada por Redash <=10.1.0 para SSO SAML. A alto nivel, permite a un atacante falsificar una respuesta SAML con una clave pública incrustada arbitraria, posibilitando la suplantación de usuarios y la escalada de privilegios mediante aprovisionamiento just-in-time (JIT).
La vulnerabilidad radica en cómo pysaml2 invoca a xmlsec1 para verificar firmas SAML. Xmlsec1, por defecto, prefiere las claves públicas incrustadas en <ds:KeyInfo> de la respuesta SAML sobre el certificado del IdP configurado. Un atacante puede crear una respuesta SAML con un par de claves RSA autogenerado, incrustar la clave pública en <ds:RSAKeyValue> y firmar la aserción con la clave privada. Dado que pysaml2 no restringe a xmlsec1 para que use solo el certificado de confianza del IdP, la firma falsificada se considera válida, permitiendo al atacante iniciar sesión como cualquier usuario (por ejemplo, admin) y obtener los máximos privilegios.
A nivel de código, la vulnerabilidad existe en sigver.py de pysaml2 (función check_signature). La lista de comandos de xmlsec1 carece de la opción --enabled-key-data raw-x509-cert, lo que permite a xmlsec1 usar claves incrustadas no confiables:
com_list = [
self.xmlsec, '--verify', '--enabled-reference-uris', 'empty,same-doc',
'--pubkey-cert-pem', cert_file_name,
'--id-attr:%s' % id_attr, node_name,
'--node-id', nodeid, '--output', output_file_name, xml_file_name
]
Esto permite ataques donde el atacante modifica el correo electrónico en <saml:NameID> para suplantar a cualquier usuario, aprovechando el aprovisionamiento JIT.
Para probar el exploit, se levanta una instancia local de Redash (v10.1.0 o anterior) usando Docker Compose. La configuración implica configurar SSO SAML con el IdP de Google:
docker-compose up.REDASH_SAML_LOGIN_ENABLED=true, REDASH_SAML_METADATA_URL=... del IdP de Google).Esta configuración permite probar la respuesta SAML falsificada enviada mediante un script de Python o Burp Suite, verificando la escalada de privilegios.
La vulnerabilidad surge porque la invocación de xmlsec1 por parte de pysaml2 permite usar claves incrustadas para la verificación, omitiendo el certificado de confianza del IdP. Un atacante genera un par de claves RSA, crea una respuesta SAML con la clave pública en <ds:RSAKeyValue>, modifica atributos (por ejemplo, correo electrónico al del admin) y firma la aserción. Xmlsec1 verifica usando la clave incrustada, considerándola válida.
La corrección se implementó en pysaml2 v6.5.0 (commit inicial el 17 de enero de 2021) en src/saml2/sigver.py. La lista de comandos de xmlsec1 se actualizó para incluir --enabled-key-data raw-x509-cert, restringiendo la verificación al certificado del IdP configurado:
com_list = [
self.xmlsec, '--verify', '--enabled-reference-uris', 'empty,same-doc',
'--pubkey-cert-pem', cert_file_name,
'--enabled-key-data', 'raw-x509-cert',
'--id-attr:%s' % id_attr, node_name,
'--node-id', nodeid, '--output', output_file_name, xml_file_name
]
Esto impone la validación de la cadena de confianza, evitando el uso de claves incrustadas. Redash corrigió esto actualizando pysaml2 en versiones posteriores (por ejemplo, v11+). Las versiones vulnerables no usaban --insecure; el error era la opción de restricción faltante.
El código del exploit se implementa en el archivo cve-2021-21239.py. Este script de Python automatiza el proceso de falsificación de una respuesta SAML para explotar CVE-2021-21239 en Redash <=10.1.0, permitiendo la suplantación de usuarios y la escalada de privilegios mediante aprovisionamiento JIT. El exploit está dirigido al IdP SAML de Google Workspace, pero el ataque se ha probado con otros IdP (keycloak). El script realiza los siguientes pasos:
email="[email protected]").idpid del endpoint de inicio de sesión SAML de Redash si no se proporciona, asegurando compatibilidad con la configuración del objetivo.SAMLResponseTempalte.xml) con marcadores de posición para correo electrónico, nombres, marcas de tiempo e ID de aserción. Se generan marcas de tiempo UTC dinámicas con una ventana de validez de 5 minutos para superar la validación de Redash.xmlsec de Python para firmar el elemento <saml:Assertion> con RSA-SHA256, incrustando la clave pública en <ds:RSAKeyValue> para explotar la vulnerabilidad./saml/callback?org_slug=default).Explotar CVE-2021-21239 requirió crear una respuesta SAML falsificada que Redash aceptara mediante aprovisionamiento JIT. Dificultades clave y soluciones:
<ds:RSAKeyValue>, firmando con la clave privada.xmlsec1 funcionaron, pero la librería xmlsec de Python causaba discrepancias de digest debido a problemas de espacios en blanco/canonicalización. Se solucionó serializando el XML en una sola línea (etree.tostring(..., pretty_print=False)) antes de firmar.NotOnOrAfter muy futuro causaba rechazo; se solucionó usando marcas de tiempo UTC dinámicas con una validez de 5 minutos.SAMLResponse, causando fallos de análisis; se solucionó enviando datos de formulario sin procesar.Estos desafíos resaltan la necesidad de una manipulación XML precisa y una configuración de entorno adecuada para explotar la vulnerabilidad de manera efectiva. El código de exploit proporcionado demuestra esto exitosamente, falsificando una respuesta SAML para suplantar usuarios y obtener acceso.