Exploitation et analyse de la RCE WSO2 (CVE-2022-29464).

Détails

CVE-2022-29464 est une grave vulnérabilité dans WSO2. Cette faille est un téléchargement arbitraire de fichiers non autorisé et sans contrainte, permettant à des utilisateurs non authentifiés de télécharger des fichiers JSP malveillants sur les serveurs WSO2 et d'obtenir une exécution de code à distance (RCE).

La route de téléchargement vulnérable est /fileupload, gérée par le servlet FileUploadServlet. Il s'agit d'une route non protégée par IAM, comme on peut le voir dans le fichier de configuration indentity.xml :```xml

La fonction `handleSecurity()` est en charge de la protection des différentes routes fournies par WSO2 et offre un mécanisme pour effectuer des contrôles de sécurité sur les requêtes HTTP reçues. `handleSecurity()` appellera `CarbonUILoginUtil.handleLoginPageRequest()`, et en fonction de sa valeur de retour, il sera décidé d'accorder ou de refuser l'accès à l'URI demandée :```java
    public boolean handleSecurity(HttpServletRequest request, HttpServletResponse response)
            throws IOException {
	[snipped]
        if ((val = CarbonUILoginUtil.handleLoginPageRequest(requestedURI, request, response,
                authenticated, context, indexPageURL)) != CarbonUILoginUtil.CONTINUE) {
            if (val == CarbonUILoginUtil.RETURN_TRUE) {
                return true;
            } else {
                return false;
            }
        }
	[snipped]
    }

[`execute()`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/FileUploadExecutorManager.java#L430) parcourt le `HashMap` de `<Action, Class>` créé précédemment et trouve l'Action (clé) qui est égale à `actionString`, si elle est trouvée, la méthode `executeGeneric()` de l'objet associé à cette Action sera appelée. pour réviser, la configuration par défaut a 7 actions qui sont : * `keystore`, `certificate`, `*` gérés par `org.wso2.carbon.ui.transports.fileupload.AnyFileUploadExecutor` * `jarZip` géré par `org.wso2.carbon.ui.transports.fileupload.JarZipUploadExecutor` * `dbs` géré par `org.wso2.carbon.ui.transports.fileupload.DBSFileUploadExecutor` * `tools` géré par `org.wso2.carbon.ui.transports.fileupload.ToolsFileUploadExecutor` * `toolsAny` géré par `org.wso2.carbon.ui.transports.fileupload.ToolsAnyFileUploadExecutor` chacun de ces objets gère le téléchargement différemment, certains acceptent des extensions spécifiques. le premier que j'ai trouvé vulnérable à l'écriture arbitraire de fichiers était `toolsAny` ([`ToolsAnyFileUploadExecutor`](https://github.com/wso2/carbon-kernel/blob/4.4.x/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/ToolsAnyFileUploadExecutor.java)). `ToolsAnyFileUploadExecutor` n'a pas de méthode `executeGeneric()` mais il étend [`AbstractFileUploadExecutor`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/AbstractFileUploadExecutor.java#L61) qui a une méthode [`executeGeneric()`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/AbstractFileUploadExecutor.java#L97) :```java boolean executeGeneric(HttpServletRequest request, HttpServletResponse response, ConfigurationContext configurationContext) throws IOException {//, // CarbonException { this.configurationContext = configurationContext; try { parseRequest(request); return execute(request, response); } catch (FileUploadFailedException e) { sendErrorRedirect(request, response, e); } catch (FileSizeLimitExceededException e) { sendErrorRedirect(request, response, e); } catch (CarbonException e) { sendErrorRedirect(request, response, e); } return false; }

ServletRequestContext servletRequestContext = new ServletRequestContext(request); boolean isMultipart = ServletFileUpload.isMultipartContent(servletRequestContext); Long totalFileSize = 0L; if (isMultipart) { List items; try { items = parseRequest(servletRequestContext); } catch (FileUploadException e) { String msg = "File upload failed"; log.error(msg, e); throw new FileUploadFailedException(msg, e); } boolean multiItems = false; if (items.size() > 1) { multiItems = true; } // Add the uploaded items to the corresponding maps. for (Iterator iter = items.iterator(); iter.hasNext();) { FileItem item = (FileItem) iter.next(); String fieldName = item.getFieldName().trim(); if (item.isFormField()) { if (formFieldsMap.get().get(fieldName) == null) { formFieldsMap.get().put(fieldName, new ArrayList<String>()); } try { formFieldsMap.get().get(fieldName).add(new String(item.get(), "UTF-8")); } catch (UnsupportedEncodingException ignore) { } } else { String fileName = item.getName(); if ((fileName == null || fileName.length() == 0) && multiItems) { continue; } if (fileItemsMap.get().get(fieldName) == null) { fileItemsMap.get().put(fieldName, new ArrayList<FileItemData>()); } totalFileSize += item.getSize(); if (totalFileSize < totalFileUploadSizeLimit) { fileItemsMap.get().get(fieldName).add(new FileItemData(item)); } else { throw new FileSizeLimitExceededException(getFileSizeLimit() / 1024 / 1024); } } } } }

il s'assure d'abord que la requête POST est une requête POST multipart, puis extrait les fichiers téléchargés, vérifie que la requête POST contient au moins un fichier téléchargé et le valide par rapport à la taille maximale du fichier. après être revenu de `parseRequest()`, `executeGeneric()` appellera maintenant la méthode `execute()` qui est [remplacée](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/ToolsAnyFileUploadExecutor.java#L36) par `ToolsAnyFileUploadExecutor` :```java @Override public boolean execute(HttpServletRequest request, HttpServletResponse response) throws CarbonException, IOException { PrintWriter out = response.getWriter(); try { Map fileResourceMap = (Map) configurationContext .getProperty(ServerConstants.FILE_RESOURCE_MAP); if (fileResourceMap == null) { fileResourceMap = new TreeBidiMap(); configurationContext.setProperty(ServerConstants.FILE_RESOURCE_MAP, fileResourceMap); } List<FileItemData> fileItems = getAllFileItems(); //String filePaths = ""; for (FileItemData fileItem : fileItems) { String uuid = String.valueOf( System.currentTimeMillis() + Math.random()); String serviceUploadDir = configurationContext .getProperty(ServerConstants.WORK_DIR) + File.separator + "extra" + File .separator + uuid + File.separator; File dir = new File(serviceUploadDir); if (!dir.exists()) { dir.mkdirs(); } File uploadedFile = new File(dir, fileItem.getFileItem().getFieldName()); try (FileOutputStream fileOutStream = new FileOutputStream(uploadedFile)) { fileItem.getDataHandler().writeTo(fileOutStream); fileOutStream.flush(); } response.setContentType("text/plain; charset=utf-8"); //filePaths = filePaths + uploadedFile.getAbsolutePath() + ","; fileResourceMap.put(uuid, uploadedFile.getAbsolutePath()); out.write(uuid); } //filePaths = filePaths.substring(0, filePaths.length() - 1); //out.write(filePaths); out.flush(); } catch (Exception e) { log.error("File upload FAILED", e); out.write("<script type=\"text/javascript\">" + "top.wso2.wsf.Util.alertWarning('File upload FAILED. File may be non-existent or invalid.');" + "</script>"); } finally { out.close(); } return true; }

CVE-2022-29464

Populaires

Détails