CVE-2022-29464

Exploit RCE WSO2 (CVE-2022-29464).

Détails

CVE-2022-29464 est une vulnérabilité critique sur WSO2 découverte par Orange Tsai. La vulnérabilité est un téléchargement de fichier arbitraire non authentifié et sans restriction qui permet aux attaquants non authentifiés d'obtenir une RCE sur les serveurs WSO2 en téléchargeant des fichiers JSP malveillants.

La route de téléchargement vulnérable est /fileupload qui est gérée par FileUploadServlet qui est une route non protégée comme on peut le voir dans le fichier de configuration indentity.xml :```xml

le `FileUploadServlet` et lors de [`init`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/FileUploadServlet.java#L71) et à travers une série d'appels de méthodes charge finalement à partir du fichier de configuration `carbon.xml` plusieurs formats/actions de téléversement ainsi que l'objet qui gère chaque format.```java
    public void init(ServletConfig servletConfig) throws ServletException {
        this.servletConfig = servletConfig;
        try {
            fileUploadExecutorManager = new FileUploadExecutorManager(bundleContext, configContext, webContext);
            //Registering FileUploadExecutor Manager as an OSGi service
            bundleContext.registerService(FileUploadExecutorManager.class.getName(), fileUploadExecutorManager, null);
        } catch (CarbonException e) {
            log.error("Exception occurred while trying to initialize FileUploadServlet", e);
            throw new ServletException(e);
        }
    }

[`execute()`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/FileUploadExecutorManager.java#L430) parcourt la `HashMap` de `<Action, Class>` créée précédemment et trouve l'Action (clé) qui est égale à `actionString`. Si elle est trouvée, la méthode `executeGeneric()` de l'objet associé à cette Action sera appelée. Pour réviser, la configuration par défaut comporte 7 actions : * `keystore`, `certificate`, `*` gérés par `org.wso2.carbon.ui.transports.fileupload.AnyFileUploadExecutor` * `jarZip` géré par `org.wso2.carbon.ui.transports.fileupload.JarZipUploadExecutor` * `dbs` géré par `org.wso2.carbon.ui.transports.fileupload.DBSFileUploadExecutor` * `tools` géré par `org.wso2.carbon.ui.transports.fileupload.ToolsFileUploadExecutor` * `toolsAny` géré par `org.wso2.carbon.ui.transports.fileupload.ToolsAnyFileUploadExecutor` Chacun de ces objets gère le téléversement de manière différente ; certains acceptent des extensions spécifiques. Le premier que j'ai trouvé vulnérable à une écriture de fichier arbitraire était `toolsAny` ([`ToolsAnyFileUploadExecutor`](https://github.com/wso2/carbon-kernel/blob/4.4.x/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/ToolsAnyFileUploadExecutor.java)). `ToolsAnyFileUploadExecutor` ne possède pas de méthode `executeGeneric()` mais étend [`AbstractFileUploadExecutor`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/AbstractFileUploadExecutor.java#L61) qui, elle, possède une méthode [`executeGeneric()`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/AbstractFileUploadExecutor.java#L97) :```java boolean executeGeneric(HttpServletRequest request, HttpServletResponse response, ConfigurationContext configurationContext) throws IOException {//, // CarbonException { this.configurationContext = configurationContext; try { parseRequest(request); return execute(request, response); } catch (FileUploadFailedException e) { sendErrorRedirect(request, response, e); } catch (FileSizeLimitExceededException e) { sendErrorRedirect(request, response, e); } catch (CarbonException e) { sendErrorRedirect(request, response, e); } return false; }

ServletRequestContext servletRequestContext = new ServletRequestContext(request); boolean isMultipart = ServletFileUpload.isMultipartContent(servletRequestContext); Long totalFileSize = 0L; if (isMultipart) { List items; try { items = parseRequest(servletRequestContext); } catch (FileUploadException e) { String msg = "File upload failed"; log.error(msg, e); throw new FileUploadFailedException(msg, e); } boolean multiItems = false; if (items.size() > 1) { multiItems = true; } // Add the uploaded items to the corresponding maps. for (Iterator iter = items.iterator(); iter.hasNext();) { FileItem item = (FileItem) iter.next(); String fieldName = item.getFieldName().trim(); if (item.isFormField()) { if (formFieldsMap.get().get(fieldName) == null) { formFieldsMap.get().put(fieldName, new ArrayList<String>()); } try { formFieldsMap.get().get(fieldName).add(new String(item.get(), "UTF-8")); } catch (UnsupportedEncodingException ignore) { } } else { String fileName = item.getName(); if ((fileName == null || fileName.length() == 0) && multiItems) { continue; } if (fileItemsMap.get().get(fieldName) == null) { fileItemsMap.get().put(fieldName, new ArrayList<FileItemData>()); } totalFileSize += item.getSize(); if (totalFileSize < totalFileUploadSizeLimit) { fileItemsMap.get().get(fieldName).add(new FileItemData(item)); } else { throw new FileSizeLimitExceededException(getFileSizeLimit() / 1024 / 1024); } } } } }

il assure d'abord que la requête POST est une requête POST multipart, puis extrait les fichiers téléchargés, s'assure que la requête POST contient au moins un fichier téléchargé et le valide par rapport à la taille maximale du fichier. après être revenu de `parseRequest()`, `executeGeneric()` appellera maintenant la méthode `execute()` qui est [surchargée](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/ToolsAnyFileUploadExecutor.java#L36) par `ToolsAnyFileUploadExecutor`:```java @Override public boolean execute(HttpServletRequest request, HttpServletResponse response) throws CarbonException, IOException { PrintWriter out = response.getWriter(); try { Map fileResourceMap = (Map) configurationContext .getProperty(ServerConstants.FILE_RESOURCE_MAP); if (fileResourceMap == null) { fileResourceMap = new TreeBidiMap(); configurationContext.setProperty(ServerConstants.FILE_RESOURCE_MAP, fileResourceMap); } List<FileItemData> fileItems = getAllFileItems(); //String filePaths = ""; for (FileItemData fileItem : fileItems) { String uuid = String.valueOf( System.currentTimeMillis() + Math.random()); String serviceUploadDir = configurationContext .getProperty(ServerConstants.WORK_DIR) + File.separator + "extra" + File .separator + uuid + File.separator; File dir = new File(serviceUploadDir); if (!dir.exists()) { dir.mkdirs(); } File uploadedFile = new File(dir, fileItem.getFileItem().getFieldName()); try (FileOutputStream fileOutStream = new FileOutputStream(uploadedFile)) { fileItem.getDataHandler().writeTo(fileOutStream); fileOutStream.flush(); } response.setContentType("text/plain; charset=utf-8"); //filePaths = filePaths + uploadedFile.getAbsolutePath() + ","; fileResourceMap.put(uuid, uploadedFile.getAbsolutePath()); out.write(uuid); } //filePaths = filePaths.substring(0, filePaths.length() - 1); //out.write(filePaths); out.flush(); } catch (Exception e) { log.error("File upload FAILED", e); out.write("<script type=\"text/javascript\">" + "top.wso2.wsf.Util.alertWarning('File upload FAILED. File may be non-existent or invalid.');" + "</script>"); } finally { out.close(); } return true; }

wso2-rce-cve-2022-29464

Populaires