CVE-2018-1000529

NVD CVE-2018-1000529: https://nvd.nist.gov/vuln/detail/CVE-2018-1000529

MITRE CVE-2018-1000529: https://cve.mitre.org/cgi-bin/cvename.cgi?name=2018-1000529

XSS almacenado en Grails Fields Plugin <=2.2.7

Este repositorio se utilizó para demostrar una prueba de concepto de la vulnerabilidad para la divulgación responsable al equipo de Grails.

La vulnerabilidad XSS está presente en todos los proyectos que utilizan Grails v3.3.5 o inferior, ya que todos incluyen el plugin Grails Fields afectado v2.2.7 o inferior. Se corrigió en el plugin Grails Fields v2.2.8, que se utiliza en Grails v3.3.6.

Se recomienda que todos los proyectos que utilicen Grails v3.3.5 o inferior actualicen al menos a v3.3.6 o definan la versión de la dependencia del plugin Grails Fields en build.gradle como v2.2.8 o superior.

Dado que el plugin Grails Fields se usa ampliamente en Grails Scaffolding, todas las aplicaciones generadas con scaffolding que utilicen Grails v3.3.5 o inferior son potencialmente vulnerables. Aunque Grails tiene buenas contramedidas XSS activadas por defecto, cualquier objeto de dominio que sea mostrado por las etiquetas del plugin Grails Fields y que contenga código HTML o JavaScript no se codifica ni valida y es ejecutado por el navegador.

Uso

Clona este proyecto y luego inicia la aplicación localmente ejecutando:

Windows

En un símbolo del sistema / PowerShell:

grailsw.bat run-app

Mac / Linux

En una ventana de terminal:

./grailsw run-app

Ejecución del PoC

Cuando la aplicación Grails esté completamente inicializada, mostrará:

Grails application running at http://localhost:8080 in environment: development

1. La URL debería abrirse automáticamente en el navegador predeterminado; si no, abre tu navegador e introduce la URL manualmente.
2. Haz clic en el enlace myapp.TestController
3. Cuando la página siguiente se haya cargado, se abrirá un cuadro de diálogo de alerta de JavaScript con el texto XSS.

El objeto de dominio Test1 se crea durante la inicialización y está definido en el archivo grails-app/init/myapp/BootStrap.groovy.
La vulnerabilidad no solo está presente cuando el objeto se crea durante BootStrap, sino también cuando se crea en la GUI generada por scaffolding mediante la entrada del usuario.
Esto se puede probar eliminando el objeto Test1 y añadiendo un nuevo objeto Test que contenga el nombre: Test1<script>alert('XSS');</script>

Cronología

• 22 de mayo de 2018: Descubrimiento y divulgación responsable de la vulnerabilidad por @martinfrancois
• 24 de mayo de 2018: Reconocimiento de la vulnerabilidad y envío de la solicitud de CVE
• 24 de mayo de 2018: Pull request con la corrección de la vulnerabilidad para Grails v3.x fusionado en grails-fields-plugin
• 24 de mayo de 2018: Lanzamiento del plugin Grails Fields v2.2.8 para Grails v3.x
• 25 de mayo de 2018: Pull request con la corrección de la vulnerabilidad para Grails v2.x fusionado en grails-fields-plugin
• 25 de mayo de 2018: Lanzamiento del plugin Grails Fields v1.6 para Grails v2.x
• 15 de junio de 2018: Lanzamiento de Grails v3.3.6, que incluye la dependencia actualizada del plugin Grails Fields corregido v2.2.8
• 22 de junio de 2018: CVE-2018-1000529 asignado
• 26 de junio de 2018: CVE-2018-1000529 publicado

Muchas gracias al equipo de Grails por resolver rápidamente esta vulnerabilidad, incluyendo:

• @sdelamo
• @sbglasius
• @ilopmar