CVE-2022-29464

WSO2 RCE (CVE-2022-29464) एक्सप्लॉइट।

विवरण

CVE-2022-29464 WSO2 पर एक गंभीर भेद्यता है जिसे Orange Tsai ने खोजा है। यह भेद्यता एक अनप्रमाणित अप्रतिबंधित मनमाना फ़ाइल अपलोड है, जो अनप्रमाणित हमलावरों को दुर्भावनापूर्ण JSP फ़ाइलें अपलोड करके WSO2 सर्वर पर RCE प्राप्त करने की अनुमति देती है।

भेद्य अपलोड रूट /fileupload है, जिसे FileUploadServlet द्वारा हैंडल किया जाता है, जो एक असुरक्षित रूट है, जैसा कि हम indentity.xml कॉन्फ़िगरेशन फ़ाइल में देख सकते हैं:```xml

`FileUploadServlet` और [`init`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/FileUploadServlet.java#L71) पर, तथा मेथड कॉल्स की एक श्रृंखला के माध्यम से, अंततः `carbon.xml` कॉन्फ़िगरेशन फ़ाइल से कई अपलोड फ़ाइल प्रारूपों/क्रियाओं को, उस ऑब्जेक्ट के साथ लोड करता है जो प्रत्येक प्रारूप को संभालता है।```java
    public void init(ServletConfig servletConfig) throws ServletException {
        this.servletConfig = servletConfig;
        try {
            fileUploadExecutorManager = new FileUploadExecutorManager(bundleContext, configContext, webContext);
            //Registering FileUploadExecutor Manager as an OSGi service
            bundleContext.registerService(FileUploadExecutorManager.class.getName(), fileUploadExecutorManager, null);
        } catch (CarbonException e) {
            log.error("Exception occurred while trying to initialize FileUploadServlet", e);
            throw new ServletException(e);
        }
    }

FileUploadExecutorManager क्लास का कंस्ट्रक्टर निम्नानुसार है:```java public FileUploadExecutorManager(BundleContext bundleContext, ConfigurationContext configCtx, String webContext) throws CarbonException { this.bundleContext = bundleContext; this.configContext = configCtx; this.webContext = webContext; this.loadExecutorMap(); }

कंस्ट्रक्टर निजी विधि [`loadExecutorMap()`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/FileUploadExecutorManager.java#L131) को कॉल करता है, जहाँ कॉन्फ़िगरेशन लोडिंग की जाती है:```java
    private void loadExecutorMap() throws CarbonException {
        [snipped]
                try {
            documentElement = XMLUtils.toOM(serverConfiguration.getDocumentElement());
        } catch (Exception e) {
            String msg = "Unable to read Server Configuration.";
            log.error(msg);
            throw new CarbonException(msg, e);
        }
        [snipped]
        OMElement fileUploadConfigElement =
                documentElement.getFirstChildWithName(
                        new QName(ServerConstants.CARBON_SERVER_XML_NAMESPACE, "FileUploadConfig"));
        for (Iterator iterator = fileUploadConfigElement.getChildElements(); iterator.hasNext();) {
            OMElement mapppingElement = (OMElement) iterator.next();
            if (mapppingElement.getLocalName().equalsIgnoreCase("Mapping")) {
                OMElement actionsElement =
                        mapppingElement.getFirstChildWithName(
                                new QName(ServerConstants.CARBON_SERVER_XML_NAMESPACE, "Actions"));
                String confPath = System.getProperty(CarbonBaseConstants.CARBON_CONFIG_DIR_PATH);
        [snipped]

फ़ाइल अपलोड प्रारूप कॉन्फ़िगरेशन XML कॉन्फ़िगरेशन फ़ाइल में FileUploadConfig नेमस्पेस के भीतर है, यह डिफ़ॉल्ट कॉन्फ़िगरेशन है:```xml 100

    <Mapping>
        <Actions>
            <Action>keystore</Action>
            <Action>certificate</Action>
            <Action>*</Action>
        </Actions>
        <Class>org.wso2.carbon.ui.transports.fileupload.AnyFileUploadExecutor</Class>
    </Mapping>

    <Mapping>
        <Actions>
            <Action>jarZip</Action>
        </Actions>
        <Class>org.wso2.carbon.ui.transports.fileupload.JarZipUploadExecutor</Class>
    </Mapping>
    <Mapping>
        <Actions>
            <Action>dbs</Action>
        </Actions>
        <Class>org.wso2.carbon.ui.transports.fileupload.DBSFileUploadExecutor</Class>
    </Mapping>
    <Mapping>
        <Actions>
            <Action>tools</Action>
        </Actions>
        <Class>org.wso2.carbon.ui.transports.fileupload.ToolsFileUploadExecutor</Class>
    </Mapping>
    <Mapping>
        <Actions>
            <Action>toolsAny</Action>
        </Actions>
        <Class>org.wso2.carbon.ui.transports.fileupload.ToolsAnyFileUploadExecutor</Class>
    </Mapping>
</FileUploadConfig>

`loadExecutorMap()` विधि कॉन्फ़िग फ़ाइल से निकाले गए Actions और Classes के साथ `<Action, Class>` का एक `HashMap` बनाती और भरती है, जिसका उपयोग बाद में यह चुनने के लिए किया जाएगा कि किसी दिए गए format/action को सही ढंग से संभालने के लिए किस class का उपयोग किया जाए।

बाद में जब `/fileupload` रूट पर एक POST अनुरोध प्राप्त होता है, तो सर्वलेट की [`doPost()`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/FileUploadServlet.java#L53) विधि कॉल की जाएगी। यह विधि केवल अनुरोध और प्रतिक्रिया ऑब्जेक्ट को `fileUploadExecutorManager` की `execute()` विधि को अग्रेषित करती है, जिसे `init()` पर प्रारंभ किया गया था।```java
    protected void doPost(HttpServletRequest request,
                          HttpServletResponse response) throws ServletException, IOException {

        try {
            fileUploadExecutorManager.execute(request, response);
        } catch (Exception e) {
            String msg = "File upload failed ";
            log.error(msg, e);
            throw new ServletException(e);
        }
    }

execute() विधि, अनुरोध URL को fileupload/ स्ट्रिंग के ठीक बाद विभाजित करती है, जिसका अर्थ है कि यह अनुरोध URL में /fileupload/ के बाद जो कुछ भी है उसे निकालती है और इसे actionString को सौंपती है।```java public boolean execute(HttpServletRequest request, HttpServletResponse response) throws IOException {

    HttpSession session = request.getSession();
    String cookie = (String) session.getAttribute(ServerConstants.ADMIN_SERVICE_COOKIE);
    request.setAttribute(CarbonConstants.ADMIN_SERVICE_COOKIE, cookie);
    request.setAttribute(CarbonConstants.WEB_CONTEXT, webContext);
    request.setAttribute(CarbonConstants.SERVER_URL,
                         CarbonUIUtil.getServerURL(request.getSession().getServletContext(),
                                                   request.getSession()));


    String requestURI = request.getRequestURI();

    //TODO - fileupload is hardcoded
    int indexToSplit = requestURI.indexOf("fileupload/") + "fileupload/".length();
    String actionString = requestURI.substring(indexToSplit);

    // Register execution handlers
    FileUploadExecutionHandlerManager execHandlerManager =
            new FileUploadExecutionHandlerManager();
    CarbonXmlFileUploadExecHandler carbonXmlExecHandler =
            new CarbonXmlFileUploadExecHandler(request, response, actionString);
    execHandlerManager.addExecHandler(carbonXmlExecHandler);
    OSGiFileUploadExecHandler osgiExecHandler =
            new OSGiFileUploadExecHandler(request, response);
    execHandlerManager.addExecHandler(osgiExecHandler);
    AnyFileUploadExecHandler anyFileExecHandler =
            new AnyFileUploadExecHandler(request, response);
    execHandlerManager.addExecHandler(anyFileExecHandler);
    execHandlerManager.startExec();
    return true;
}

`actionString` को `request` और `response` के साथ `CarbonXmlFileUploadExecHandler` क्लास कंस्ट्रक्टर को पारित किया जाता है:```java
        private CarbonXmlFileUploadExecHandler(HttpServletRequest request,
                                               HttpServletResponse response,
                                               String actionString) {
            this.request = request;
            this.response = response;
            this.actionString = actionString;
        }

कंस्ट्रक्टर उन्हें अपनी प्रॉपर्टीज़ में सहेज लेगा। उसके बाद carbonXmlExecHandler ऑब्जेक्ट अन्य ऑब्जेक्ट्स के साथ execHandlerManager में addExecHandler() विधि का उपयोग करके जोड़ा जाएगा।```java public void addExecHandler(FileUploadExecutionHandler handler) { if (prevHandler != null) { prevHandler.setNext(handler); } else { firstHandler = handler; } prevHandler = handler; }

फिर `execHandlerManager.startExec()` बुलाया जाता है:```java
        public void startExec() throws IOException {
            firstHandler.execute();
        }

startExec() पहले जोड़े गए ऑब्जेक्ट के execute() को कॉल करता है, जो CarbonXmlFileUploadExecHandler है:```java public void execute() throws IOException { boolean foundExecutor = false; for (String key : executorMap.keySet()) { if (key.equals(actionString)) { AbstractFileUploadExecutor obj = executorMap.get(key); foundExecutor = true; obj.executeGeneric(request, response, configContext); break; } } if (!foundExecutor) { next(); } }

[`execute()`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/FileUploadExecutorManager.java#L430) पहले बनाए गए `<Action, Class>` के `HashMap` में लूप करता है और उस Action (key) को खोजता है जो `actionString` के बराबर है, यदि मिल जाए तो उस Action से संबद्ध ऑब्जेक्ट की `executeGeneric()` विधि को कॉल किया जाएगा।
पुनरावलोकन करें तो डिफ़ॉल्ट कॉन्फ़िगरेशन में 7 एक्शन होते हैं, जो इस प्रकार हैं:
* `keystore`, `certificate`, `*` को `org.wso2.carbon.ui.transports.fileupload.AnyFileUploadExecutor` द्वारा संभाला जाता है
* `jarZip` को `org.wso2.carbon.ui.transports.fileupload.JarZipUploadExecutor` द्वारा संभाला जाता है
* `dbs` को `org.wso2.carbon.ui.transports.fileupload.DBSFileUploadExecutor` द्वारा संभाला जाता है
* `tools` को `org.wso2.carbon.ui.transports.fileupload.ToolsFileUploadExecutor` द्वारा संभाला जाता है
* `toolsAny` को `org.wso2.carbon.ui.transports.fileupload.ToolsAnyFileUploadExecutor` द्वारा संभाला जाता है
इनमें से प्रत्येक ऑब्जेक्ट अपलोड को अलग-अलग तरीके से संभालता है और उनमें से कुछ विशिष्ट एक्सटेंशन स्वीकार करते हैं।

पहला ऑब्जेक्ट जो मुझे आर्बिट्ररी फ़ाइल लेखन के लिए कमज़ोर मिला, वह `toolsAny` ([`ToolsAnyFileUploadExecutor`](https://github.com/wso2/carbon-kernel/blob/4.4.x/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/ToolsAnyFileUploadExecutor.java)) था।
`ToolsAnyFileUploadExecutor` के पास `executeGeneric()` विधि नहीं है, लेकिन यह [`AbstractFileUploadExecutor`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/AbstractFileUploadExecutor.java#L61) को एक्सटेंड करता है, जिसके पास [`executeGeneric()`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/AbstractFileUploadExecutor.java#L97) विधि होती है:```java
    boolean executeGeneric(HttpServletRequest request,
                           HttpServletResponse response,
                           ConfigurationContext configurationContext) throws IOException {//,
        //    CarbonException {
        this.configurationContext = configurationContext;
        try {
            parseRequest(request);
            return execute(request, response);
        } catch (FileUploadFailedException e) {
            sendErrorRedirect(request, response, e);
        } catch (FileSizeLimitExceededException e) {
            sendErrorRedirect(request, response, e);
        } catch (CarbonException e) {
            sendErrorRedirect(request, response, e);
        }
        return false;
    }

executeGeneric() सबसे पहले रिक्वेस्ट ऑब्जेक्ट को पैरामीटर के रूप में parseRequest() को कॉल करता है:```java protected void parseRequest(HttpServletRequest request) throws FileUploadFailedException, FileSizeLimitExceededException { fileItemsMap.set(new HashMap<String, ArrayList>()); formFieldsMap.set(new HashMap<String, ArrayList>());

    ServletRequestContext servletRequestContext = new ServletRequestContext(request);
    boolean isMultipart = ServletFileUpload.isMultipartContent(servletRequestContext);
    Long totalFileSize = 0L;

    if (isMultipart) {

        List items;
        try {
            items = parseRequest(servletRequestContext);
        } catch (FileUploadException e) {
            String msg = "File upload failed";
            log.error(msg, e);
            throw new FileUploadFailedException(msg, e);
        }
        boolean multiItems = false;
        if (items.size() > 1) {
            multiItems = true;
        }

        // Add the uploaded items to the corresponding maps.
        for (Iterator iter = items.iterator(); iter.hasNext();) {
            FileItem item = (FileItem) iter.next();
            String fieldName = item.getFieldName().trim();
            if (item.isFormField()) {
                if (formFieldsMap.get().get(fieldName) == null) {
                    formFieldsMap.get().put(fieldName, new ArrayList<String>());
                }
                try {
                    formFieldsMap.get().get(fieldName).add(new String(item.get(), "UTF-8"));
                } catch (UnsupportedEncodingException ignore) {
                }
            } else {
                String fileName = item.getName();
                if ((fileName == null || fileName.length() == 0) && multiItems) {
                    continue;
                }
                if (fileItemsMap.get().get(fieldName) == null) {
                    fileItemsMap.get().put(fieldName, new ArrayList<FileItemData>());
                }
                totalFileSize += item.getSize();
                if (totalFileSize < totalFileUploadSizeLimit) {
                    fileItemsMap.get().get(fieldName).add(new FileItemData(item));
                } else {
                    throw new FileSizeLimitExceededException(getFileSizeLimit() / 1024 / 1024);
                }
            }
        }
    }
}

यह पहले सुनिश्चित करता है कि POST अनुरोध एक multipart POST अनुरोध है, और फिर अपलोड की गई फ़ाइलों को निकालता है, यह सुनिश्चित करता है कि POST अनुरोध में कम से कम एक अपलोड की गई फ़ाइल है और अधिकतम फ़ाइल आकार के विरुद्ध इसका सत्यापन करता है।

`parseRequest()` से लौटने के बाद, `executeGeneric()` अब `execute()` विधि को कॉल करेगा, जिसे `ToolsAnyFileUploadExecutor` द्वारा [ओवरराइड](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/ToolsAnyFileUploadExecutor.java#L36) किया गया है:```java
	@Override
	public boolean execute(HttpServletRequest request,
			HttpServletResponse response) throws CarbonException, IOException {
		PrintWriter out = response.getWriter();
        try {
        	Map fileResourceMap =
                (Map) configurationContext
                        .getProperty(ServerConstants.FILE_RESOURCE_MAP);
        	if (fileResourceMap == null) {
        		fileResourceMap = new TreeBidiMap();
        		configurationContext.setProperty(ServerConstants.FILE_RESOURCE_MAP,
                                             fileResourceMap);
        	}
            List<FileItemData> fileItems = getAllFileItems();
            //String filePaths = "";

            for (FileItemData fileItem : fileItems) {
                String uuid = String.valueOf(
                        System.currentTimeMillis() + Math.random());
                String serviceUploadDir =
                        configurationContext
                                .getProperty(ServerConstants.WORK_DIR) +
                                File.separator +
                                "extra" + File
                                .separator +
                                uuid + File.separator;
                File dir = new File(serviceUploadDir);
                if (!dir.exists()) {
                    dir.mkdirs();
                }
                File uploadedFile = new File(dir, fileItem.getFileItem().getFieldName());
                try (FileOutputStream fileOutStream = new FileOutputStream(uploadedFile)) {
                    fileItem.getDataHandler().writeTo(fileOutStream);
                    fileOutStream.flush();
                }
                response.setContentType("text/plain; charset=utf-8");
                //filePaths = filePaths + uploadedFile.getAbsolutePath() + ",";
                fileResourceMap.put(uuid, uploadedFile.getAbsolutePath());
                out.write(uuid);
            }
            //filePaths = filePaths.substring(0, filePaths.length() - 1);
            //out.write(filePaths);
            out.flush();
        } catch (Exception e) {
            log.error("File upload FAILED", e);
            out.write("<script type=\"text/javascript\">" +
                    "top.wso2.wsf.Util.alertWarning('File upload FAILED. File may be non-existent or invalid.');" +
                    "</script>");
        } finally {
            out.close();
        }
        return true;
	}

यही वह जगह है जहाँ बग है, execute() विधि पाथ ट्रैवर्सल भेद्यता के प्रति संवेदनशील है क्योंकि यह POST अनुरोध में उपयोगकर्ता द्वारा दिए गए फ़ाइलनाम पर भरोसा करती है। पाथ ट्रैवर्सल के tmp dir से बाहर निकले बिना, फ़ाइल वास्तव में यहाँ सहेजी जाती है:``` ./tmp/work/extra/$uuid/$filename

प्रतिक्रिया में `uuid` लौटाए जाने के साथ:

![image](https://assets.kitploit.com/production/public/readmes/33730/46ab2e31428a23ca42c93423c5c2a7508cb72c7e508d0a7e5405a35c27a4f619.png)

फ़ाइल यहाँ पाई जा सकती है:

![image](https://assets.kitploit.com/production/public/readmes/33730/49f94872497ef3ce08545f18bf26a84e60729c3ad0faef81819d2af8adf44f1d.png)

अब हमें केवल `tmp` निर्देशिका से बाहर निकलना है और अपने JSP शेल को WSO2 द्वारा परोसे जाने वाले किसी स्थान पर जोड़ना है। इनमें से एक स्थान है `./repository/deployment/server/webapps`:
![image](https://assets.kitploit.com/production/public/readmes/33730/0b60e9e33d9ed74a78436d46e069d59fa84c773cd381c729400d6fc811c8ce09.png)

इस निर्देशिका में कई तैनात WAR एप्लिकेशन और कच्ची WAR फ़ाइलें शामिल हैं। उन WAR एप्लिकेशन में से एक `authenticationendpoint` है जो WSO2 में प्रमाणीकरण को संभालता है और इसका स्थान है `./repository/deployment/server/webapps/authenticationendpoint`:
![image](https://assets.kitploit.com/production/public/readmes/33730/ec6897e79bbb927cd87141ba9fd07d303ffe35f3c075c53982da6c3f3126bb52.png)

# PoC
![image](https://assets.kitploit.com/production/public/readmes/33730/f18951e9acbdfdbd282f6c83037d849069b2225774598bd70d1a135ff83bdc1c.png)

![image](https://assets.kitploit.com/production/public/readmes/33730/b513180803a0562bebfc66ea9dca8572ea6f9f8bc63a898c4e32cb811b0c2ebc.png)

![image](https://assets.kitploit.com/production/public/readmes/33730/0d02bf7c174a316d5acbdc73c245cefc1a9ee00d54887a3306f6a897708474f5.png)

wso2-rce-cve-2022-29464

सबसे लोकप्रिय