CVE-2017-9506

Prueba de concepto

SSRF y XSS

https://jira.you.com//plugins/servlet/oauth/users/icon-uri?consumerUri=http://www.google.co.uk

CVE-2017-9506

El IconUriServlet del Atlassian OAuth Plugin desde la versión 1.3.0 anterior a la versión 1.9.12 y desde la versión 2.0.0 anterior a la versión 2.0.4 permite a atacantes remotos acceder al contenido de recursos internos de la red y/o realizar un ataque XSS mediante Server Side Request Forgery (SSRF).

Según Atlassian Jira, las siguientes versiones son vulnerables:

• Jira < 7.3.5

Resumen de SSRF

En un ataque de Server-Side Request Forgery (SSRF), el atacante puede abusar de la funcionalidad del servidor para leer o actualizar recursos internos. El atacante puede proporcionar o modificar una URL que el código que se ejecuta en el servidor leerá o enviará datos, y al seleccionar cuidadosamente las URLs, el atacante puede leer la configuración del servidor como metadatos de AWS, conectarse a servicios internos como bases de datos habilitadas para HTTP o realizar solicitudes POST hacia servicios internos que no están destinados a estar expuestos.

Descripción

La aplicación objetivo puede tener funcionalidad para importar datos desde una URL, publicar datos a una URL o, de otro modo, leer datos desde una URL que puede ser manipulada. El atacante modifica las llamadas a esta funcionalidad proporcionando una URL completamente diferente o manipulando cómo se construyen las URLs (path traversal, etc.).

Cuando la solicitud manipulada llega al servidor, el código del lado del servidor toma la URL manipulada e intenta leer datos hacia la URL manipulada. Al seleccionar URLs objetivo, el atacante puede leer datos de servicios que no están directamente expuestos en Internet:

• Metadatos del servidor en la nube - Los servicios en la nube como AWS proporcionan una interfaz REST en http://169.254.169.254/latest/meta-data/ donde se puede extraer configuración importante y, a veces, incluso claves de autenticación.
• Interfaces HTTP de bases de datos - Bases de datos NoSQL como MongoDB proporcionan interfaces REST en puertos HTTP.
• Docker y Kubernetes - si los puertos locales están expuestos internamente, un atacante puede crear/eliminar pods y contenedores y recuperar otros secretos.
• Si se espera que la base de datos solo esté disponible internamente, la autenticación puede estar deshabilitada y el atacante puede extraer datos.
• Interfaces REST internas
• Archivos - El atacante puede leer archivos usando URIs file://

El atacante también puede usar esta funcionalidad para importar datos no confiables en código que espera leer solo datos de fuentes confiables, y de esta manera evitar la validación de entrada.