CVE-2022-46364 — Apache CXF MTOM/XOP SSRF (फ़ाइल पढ़ना)

CVE-2022-46364 का प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट — Apache CXF सर्वर-साइड अनुरोध जालसाजी (SSRF) भेद्यता MTOM/XOP अनुरोध प्रसंस्करण में।

भेद्यता सारांश

CVE-2022-46364 Apache CXF के 3.4.10 और 3.5.5 से पहले के संस्करणों को प्रभावित करता है। जब SOAP सेवा पर MTOM (मैसेज ट्रांसमिशन ऑप्टिमाइज़ेशन मैकेनिज़्म) सक्षम होता है, तो CXF अनमार्शलर <xop:Include> तत्वों के अंदर href विशेषता को गलत तरीके से मान्य करता है। href को cid: URI तक सीमित करने (जैसा कि W3C XOP विनिर्देश द्वारा आवश्यक है) के बजाय, CXF मनमाना URI को डीरेफरेंस करता है — जिसमें file://, http://, और https:// शामिल हैं।

यह एक अप्रमाणित हमलावर को अनुमति देता है:

• मनमाना स्थानीय फ़ाइलें पढ़ना (file:///etc/passwd)
• आंतरिक सेवाओं के विरुद्ध SSRF करना (http://169.254.169.254/)
• संभावित रूप से क्लाउड मेटाडेटा एंडपॉइंट या आंतरिक API तक पहुँचना

लक्ष्य

यह PoC Hack The Box मशीन के विरुद्ध लिखा और परीक्षण किया गया था:

लक्ष्य एंडपॉइंट: http://devarea.htb:8080/employeeservice

लेकिन लक्ष्य WSDL के अनुसार XML पेलोड में छोटे बदलाव इसे लक्ष्य वातावरण के अनुकूल बनाते हैं।

उपयोग

/etc/passwd पढ़ें (डिफ़ॉल्ट लक्ष्य)

डिफ़ॉल्ट URL http://devarea.htb:8080/employeeservice है।

python3 CVE-2022-46364.py --file /etc/passwd

कस्टम लक्ष्य URL

python3 CVE-2022-46364.py --url http://target:8080/employeeservice --file /etc/passwd

वर्बोज़ मोड — अनुरोध और कच्चा प्रतिक्रिया दिखाएँ

python3 CVE-2022-46364.py --file /etc/passwd --verbose

अन्य लक्ष्यों के लिए अनुकूलन

महत्वपूर्ण: यह स्क्रिप्ट HTB DevArea WSDL संरचना के लिए हार्डकोडेड है। किसी अन्य कमजोर Apache CXF सेवा के विरुद्ध इसका उपयोग करने के लिए, आपको लक्ष्य के WSDL अनुबंध से मेल खाने के लिए build_payload() के अंदर SOAP पेलोड को संशोधित करना होगा।

अनुकूलन के चरण:

1. लक्ष्य से WSDL प्राप्त करें:

   root@kitploit:~

   curl http://target:8080/employeeservice?wsdl
   

2. सेवा विवरण पहचानें:

   • targetNamespace (जैसे http://devarea.htb/)
   • संचालन नाम (जैसे submitReport)
   • पैरामीटर संरचना (जैसे <arg0> के साथ नेस्टेड <content>)

3. build_payload() में पेलोड संशोधित करें:

   • नेमस्पेस अपडेट करें (xmlns:dev="...")
   • संचालन नाम अपडेट करें (<dev:submitReport>)
   • पैरामीटर रैपर अपडेट करें (<arg0>)
   • एक फ़ील्ड के अंदर <xop:Include href="file://{filepath}"/> रखें जिसे सर्वर अटैचमेंट के रूप में प्रोसेस करेगा

WSDL अनुकूलन का उदाहरण

इस WSDL स्निपेट को देखते हुए:

<wsdl:definitions targetNamespace="http://example.com/">
  <wsdl:operation name="uploadDocument">
    <wsdl:input message="tns:uploadDocument"/>
  </wsdl:operation>
</wsdl:definitions>

आपका पेलोड इस प्रकार होना चाहिए:

<soapenv:Envelope xmlns:soapenv="..." xmlns:ex="http://example.com/" xmlns:xop="...">
  <soapenv:Body>
    <ex:uploadDocument>
      <document>
        <xop:Include href="file:///etc/passwd"/>
      </document>
    </ex:uploadDocument>
  </soapenv:Body>
</soapenv:Envelope>

यह कैसे काम करता है

1. स्क्रिप्ट Content-Type: application/xop+xml के साथ एक multipart/related HTTP अनुरोध तैयार करती है।
2. SOAP बॉडी के अंदर, एक <xop:Include href="file:///etc/passwd"/> तत्व रखा जाता है।
3. कमजोर CXF सर्वर इसे एक अटैचमेंट संदर्भ के रूप में मानता है और file:// URI को डीरेफरेंस करता है।
4. फ़ाइल सामग्री पढ़ी जाती है, सर्वर द्वारा base64-एन्कोड की जाती है, और SOAP <return> तत्व के अंदर वापस की जाती है।
5. स्क्रिप्ट Content: के बाद base64 स्ट्रिंग निकालती है और उसे डीकोड करती है।

संदर्भ

अस्वीकरण

यह उपकरण केवल अधिकृत सुरक्षा परीक्षण और शैक्षिक उद्देश्यों के लिए है। उन प्रणालियों का परीक्षण करने से पहले हमेशा स्पष्ट अनुमति प्राप्त करें जिनके आप मालिक नहीं हैं। लेखक इस स्क्रिप्ट के किसी भी दुरुपयोग या क्षति के लिए जिम्मेदार नहीं है।

लाइसेंस

MIT लाइसेंस — उचित श्रेय के साथ उपयोग, संशोधन और साझा करने के लिए स्वतंत्र है।