CVE-2023-49964 : Injection de modèles côté serveur FreeMarker dans Alfresco

Un problème a été découvert dans Hyland Alfresco Community Edition <=7.2.0. En insérant du contenu malveillant dans le fichier folder.get.html.ftl, un attaquant peut mener des attaques SSTI (Server-Side Template Injection), qui exploitent les objets exposés de FreeMarker pour contourner les restrictions et parvenir à une exécution de code à distance (RCE).

Note : Ce problème existe en raison d'un correctif incomplet pour CVE-2020-12873.

Divulgation NVD :

La divulgation de cette vulnérabilité est disponible ici.

Prérequis :

Cette vulnérabilité nécessite :

• Des identifiants utilisateur valides

Preuve de concept :

Plus de détails et le processus d'exploitation sont disponibles dans ce PDF.

Ressources supplémentaires :

La vulnérabilité initiale (CVE-2020-12873) et le billet de blog d'Alvaro "pwntester" Munoz qui ont inspiré la recherche SSTI et la découverte de cette vulnérabilité.

Étude de cas SSTI : Alfresco par PortSwigger Research

Le gadget SSTI utilisé pour s'échapper du sandbox de FreeMarker s'inspire de cet article de Vincent Herbulot de Synacktiv

Chronologie :

• Cette vulnérabilité a été initialement signalée à [email protected] le 22 février 2022
• Hyland a pris contact et le rapport a été renvoyé à [email protected] le 07 avril 2022
• A retesté la vulnérabilité le 19 janvier 2023 et a constaté que celle-ci avait été corrigée et que l'éditeur avait décidé d'appliquer le correctif en silence (aucun avis de sécurité, aucun CVE, aucune communication)
• A divulgué publiquement la vulnérabilité le 09 décembre 2023