CVE-2022-25813: FreeMarker Server-Side Template Injection dans Apache OfBiz

En insérant un contenu malveillant dans le champ « Objet » d'un message, un attaquant peut effectuer des attaques SSTI (Server-Side Template Injection), qui peuvent exploiter les objets exposés de FreeMarker pour contourner les restrictions et obtenir une RCE (Remote Code Execution).

Remarque : Bien que cette vulnérabilité nécessite l'interaction d'un utilisateur valide pour déclencher la SSTI, la charge utile malveillante peut être envoyée par tout attaquant non authentifié qui crée un compte e-commerce.

Divulgation du fournisseur :

La divulgation et le correctif du fournisseur pour cette vulnérabilité peuvent être trouvés ici.

Prérequis :

Cette vulnérabilité nécessite :

• L'enregistrement d'un nouvel utilisateur ou des identifiants valides
• L'interaction d'un utilisateur administratif

Preuve de concept :

Plus de détails et le processus d'exploitation peuvent être trouvés dans ce PDF.

Ressources supplémentaires :

Vulnérabilité initiale GHSL-2020-070 et article de blog par Alvaro "pwntester" Munoz qui a inspiré la recherche SSTI et la découverte de cette vulnérabilité.