WSO2 RCE (CVE-2022-29464) एक्सप्लॉइट और राइटअप।

विवरण

CVE-2022-29464 WSO2 में एक गंभीर खामी है। यह खामी एक अनधिकृत, बिना किसी प्रतिबंध के मनमाना फ़ाइल अपलोड है जो अनधिकृत उपयोगकर्ताओं को WSO2 सर्वर पर दुर्भावनापूर्ण JSP फ़ाइलें अपलोड करने और रिमोट कोड एक्ज़ीक्यूशन (RCE) प्राप्त करने में सक्षम बनाती है।

कमजोर अपलोड रूट /fileupload है, जिसे FileUploadServlet सर्वलेट द्वारा हैंडल किया जाता है। और यह IAM द्वारा असुरक्षित रूट है, जैसा कि हम indentity.xml कॉन्फ़िगरेशन फ़ाइल में देख सकते हैं:```xml

'The handleSecurity ()' फ़ंक्शन WSO2 द्वारा प्रदान किए गए विभिन्न रूट्स की सुरक्षा के लिए ज़िम्मेदार है और प्राप्त HTTP अनुरोधों पर सुरक्षा जाँच करने के लिए एक तंत्र प्रदान करता है। 'handleSecurity()' 'CarbonUILoginUtil.handleLoginPageRequest()' को कॉल करेगा, और इसके रिटर्न मान के आधार पर, यह तय किया जाएगा कि अनुरोधित URI तक पहुँच प्रदान करनी है या अस्वीकार करनी है:```java
    public boolean handleSecurity(HttpServletRequest request, HttpServletResponse response)
            throws IOException {
	[snipped]
        if ((val = CarbonUILoginUtil.handleLoginPageRequest(requestedURI, request, response,
                authenticated, context, indexPageURL)) != CarbonUILoginUtil.CONTINUE) {
            if (val == CarbonUILoginUtil.RETURN_TRUE) {
                return true;
            } else {
                return false;
            }
        }
	[snipped]
    }

[`execute()`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/FileUploadExecutorManager.java#L430) पहले बनाए गए `<Action, Class>` के `HashMap` में लूप करता है और उस Action (key) को खोजता है जो `actionString` के बराबर है; यदि मिल जाए, तो उस Action से जुड़े ऑब्जेक्ट का `executeGeneric()` मेथड कॉल किया जाएगा। डिफ़ॉल्ट कॉन्फ़िगरेशन को संशोधित करने के लिए 7 एक्शन होते हैं, जो इस प्रकार हैं: * `keystore`, `certificate`, `*` को `org.wso2.carbon.ui.transports.fileupload.AnyFileUploadExecutor` द्वारा संभाला जाता है। * `jarZip` को `org.wso2.carbon.ui.transports.fileupload.JarZipUploadExecutor` द्वारा संभाला जाता है। * `dbs` को `org.wso2.carbon.ui.transports.fileupload.DBSFileUploadExecutor` द्वारा संभाला जाता है। * `tools` को `org.wso2.carbon.ui.transports.fileupload.ToolsFileUploadExecutor` द्वारा संभाला जाता है। * `toolsAny` को `org.wso2.carbon.ui.transports.fileupload.ToolsAnyFileUploadExecutor` द्वारा संभाला जाता है। इनमें से प्रत्येक ऑब्जेक्ट अपलोड को अलग तरीके से संभालता है; उनमें से कुछ विशिष्ट एक्सटेंशन स्वीकार करते हैं। पहला जो मुझे arbitrary file write के प्रति संवेदनशील मिला, वह `toolsAny` था ([`ToolsAnyFileUploadExecutor`](https://github.com/wso2/carbon-kernel/blob/4.4.x/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/ToolsAnyFileUploadExecutor.java))। `ToolsAnyFileUploadExecutor` में `executeGeneric()` मेथड नहीं है, लेकिन यह [`AbstractFileUploadExecutor`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/AbstractFileUploadExecutor.java#L61) को एक्सटेंड करता है, जिसमें [`executeGeneric()`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/AbstractFileUploadExecutor.java#L97) मेथड मौजूद है:```java boolean executeGeneric(HttpServletRequest request, HttpServletResponse response, ConfigurationContext configurationContext) throws IOException {//, // CarbonException { this.configurationContext = configurationContext; try { parseRequest(request); return execute(request, response); } catch (FileUploadFailedException e) { sendErrorRedirect(request, response, e); } catch (FileSizeLimitExceededException e) { sendErrorRedirect(request, response, e); } catch (CarbonException e) { sendErrorRedirect(request, response, e); } return false; }

ServletRequestContext servletRequestContext = new ServletRequestContext(request); boolean isMultipart = ServletFileUpload.isMultipartContent(servletRequestContext); Long totalFileSize = 0L; if (isMultipart) { List items; try { items = parseRequest(servletRequestContext); } catch (FileUploadException e) { String msg = "File upload failed"; log.error(msg, e); throw new FileUploadFailedException(msg, e); } boolean multiItems = false; if (items.size() > 1) { multiItems = true; } // Add the uploaded items to the corresponding maps. for (Iterator iter = items.iterator(); iter.hasNext();) { FileItem item = (FileItem) iter.next(); String fieldName = item.getFieldName().trim(); if (item.isFormField()) { if (formFieldsMap.get().get(fieldName) == null) { formFieldsMap.get().put(fieldName, new ArrayList<String>()); } try { formFieldsMap.get().get(fieldName).add(new String(item.get(), "UTF-8")); } catch (UnsupportedEncodingException ignore) { } } else { String fileName = item.getName(); if ((fileName == null || fileName.length() == 0) && multiItems) { continue; } if (fileItemsMap.get().get(fieldName) == null) { fileItemsMap.get().put(fieldName, new ArrayList<FileItemData>()); } totalFileSize += item.getSize(); if (totalFileSize < totalFileUploadSizeLimit) { fileItemsMap.get().get(fieldName).add(new FileItemData(item)); } else { throw new FileSizeLimitExceededException(getFileSizeLimit() / 1024 / 1024); } } } } }

यह पहले सुनिश्चित करता है कि POST अनुरोध एक multipart POST अनुरोध है, और फिर अपलोड की गई फ़ाइलों को निकालता है, यह सुनिश्चित करता है कि POST अनुरोध में कम से कम एक अपलोड की गई फ़ाइल शामिल है और अधिकतम फ़ाइल आकार के विरुद्ध इसका सत्यापन करता है। `parseRequest()` से लौटने के बाद, `executeGeneric()` अब `execute()` विधि को कॉल करेगा, जिसे `ToolsAnyFileUploadExecutor` द्वारा [override](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/ToolsAnyFileUploadExecutor.java#L36) किया गया है:```java @Override public boolean execute(HttpServletRequest request, HttpServletResponse response) throws CarbonException, IOException { PrintWriter out = response.getWriter(); try { Map fileResourceMap = (Map) configurationContext .getProperty(ServerConstants.FILE_RESOURCE_MAP); if (fileResourceMap == null) { fileResourceMap = new TreeBidiMap(); configurationContext.setProperty(ServerConstants.FILE_RESOURCE_MAP, fileResourceMap); } List<FileItemData> fileItems = getAllFileItems(); //String filePaths = ""; for (FileItemData fileItem : fileItems) { String uuid = String.valueOf( System.currentTimeMillis() + Math.random()); String serviceUploadDir = configurationContext .getProperty(ServerConstants.WORK_DIR) + File.separator + "extra" + File .separator + uuid + File.separator; File dir = new File(serviceUploadDir); if (!dir.exists()) { dir.mkdirs(); } File uploadedFile = new File(dir, fileItem.getFileItem().getFieldName()); try (FileOutputStream fileOutStream = new FileOutputStream(uploadedFile)) { fileItem.getDataHandler().writeTo(fileOutStream); fileOutStream.flush(); } response.setContentType("text/plain; charset=utf-8"); //filePaths = filePaths + uploadedFile.getAbsolutePath() + ","; fileResourceMap.put(uuid, uploadedFile.getAbsolutePath()); out.write(uuid); } //filePaths = filePaths.substring(0, filePaths.length() - 1); //out.write(filePaths); out.flush(); } catch (Exception e) { log.error("File upload FAILED", e); out.write("<script type=\"text/javascript\">" + "top.wso2.wsf.Util.alertWarning('File upload FAILED. File may be non-existent or invalid.');" + "</script>"); } finally { out.close(); } return true; }

CVE-2022-29464

सबसे लोकप्रिय

विवरण