CVE-2022-21445-for-12.2.1.3.0-Weblogic

Exploit di esecuzione di codice in remoto pre-autenticazione per Oracle WebLogic ADF Faces (CVE-2022-21445, CVSS 9.8). Include istruzioni dettagliate per la configurazione dell'ambiente, la generazione del payload e il debug remoto per test di penetrazione.

1. Preparare una cartella per l'installazione del database, creare un percorso come quello sottostante ed estrarre il file zip del database appena scaricato in C:\app\oracle\product\19c\db_home1

2. Eseguire il file setup.application con privilegi di amministratore

3. Seguire passo passo come indicato in Guida all'installazione del DB

4. Prestare molta attenzione: Al passo 8/17, ricordarsi di selezionare Create as Container database per aprire un database plugegabile necessario per il processo di installazione di Fusion Middleware imminente

Al passo 9/17, scegliere il carattere Unicode (AL32UTF8)

5. Al termine del processo di installazione, controllare attentamente nei Servizi di Windows per assicurarsi che i 4 servizi principali come nell'immagine sottostante siano in stato RUNNING

6. Creare un nuovo account oracle database seguendo i passaggi:

• Terminale Amministratore -> sqlplus / as sysdba
• Creare utente di sistema system: alter user system identified by system_password account unlock;
• Verificare l'esistenza dell'utente system: select username from dba_users;
• Impostare l'ambiente: alter session set “_oracle_script”=true;
• Creare un utente normale hr: create user hr identified by user_password;
• Concedere privilegi: grant all privileges to hr;
• Sbloccare l'account – modificare la password: alter user hr identified by hr_pass account unlock;
• Creare un nuovo account di sistema: alter user sys identified by sys_pass account unlock;

Passo 3: Installare SQL Developer, versione no-jre, link di download: SQLDev-NoJRE

• Eseguire il file sqldeveloper.application con privilegi di amministratore

• Impostare i parametri per una nuova connessione come nell'immagine sottostante, notare di modificare Username e Password (come nell'esempio sopra hr), Hostname (default localhost), Port (default 1521), SID (è il nome del database globale installato al passo 2)

• Se cliccando su Test viene visualizzato Success, la connessione è riuscita, cliccare su Connect

Passo 4: Installare Fusion Middleware Infrastructure (FMW) versione 12.2.1.3.0, link di download FMW_ver_12.2.1.3.0

• Creare un percorso per la directory di installazione di FMW nel formato C:\Oracle\Middleware\Oracle_Home
• Seguire i passaggi secondo la guida: Guida all'installazione di FMW

Passo 5: Installare Oracle Business Intelligence (OBIEE) versione 12.2.1.4.0, link di download: OBIEE_ver_12.2.1.4.0

• Eseguire il file setup_bi_platform-12.2.1.4.0_win64.exe con privilegi di amministratore

• Installare passo passo secondo Guida all'installazione di OBIEE

• Nota: Il percorso di BI deve essere uguale al percorso di installazione di FWM, qui è Oracle/Middleware/Oracle_Home

Passo 6: Impostare lo schema BI utilizzando l'utility Repository Creation Utility (RCU)

• Al percorso C:\Oracle\Middleware\Oracle_Home\oracle_common\bin, eseguire il file rcu.bat con privilegi di amministratore

• Seguire i passaggi indicati

• Alla fine, cliccare su Create per far creare al sistema lo schema BI

Passo 7: Impostare le variabili d'ambiente per OBIEE

• Vai su Pannello di controllo > Sistema > Impostazioni di sistema avanzate > Avanzate > Variabili d'ambiente > Nuova variabile di sistema

Passo 8: Creare il dominio BI

1. Al percorso C:\Oracle\Middleware\Oracle_Home\bi\bin, eseguire il file config.cmd con privilegi di amministratore

2. Al passo 1: Selezionare tutti e 3 i componenti, dove Essbase è il server OLAP, Business Intelligence Enterprise Edition è BI Analytics e Business Intelligence Publisher è BI Publisher

3. Al passo 3: Impostare un nuovo dominio come nell'immagine sottostante, !! RICORDARE LA PASSWORD DEL DOMINIO PERCHÉ SARÀ MOLTO DIFFICILE RECUPERARLA. e lasciare il dominio come bi perché è predefinito.

4. Al passo 4: Aggiornare le informazioni del dominio per il Database

5. Al passo 8: Se il processo va a buon fine, si avrà un risultato come nell'immagine sottostante

6. Se tutto è Done, salvare il file informativo di OBIEE per il passo successivo, accedere all'url aperto:

• http://localhost:9500/console*
• http://localhost:9500/em*
• http://localhost:9502/xmlpserver*
• http://localhost:9502/analytics*

7. Alcuni errori possibili

• Al passo 4, il sistema segnala fail to logon: controllare se la password del dominio è corretta

• Al passo 8, se il sistema segnala un errore come nell'immagine sottostante, verificare se la licenza di Windows è attiva e se Windows soddisfa i requisiti descritti.

• Errore: BI_HOME_PRODUCT non aggiunto, rivedere Passo 7
• Aggiornamento errori ...

Passo 9: Dopo la configurazione, accedere al dominio BI appena creato al percorso $Oracle_Home\user_projects\domains\bi\servers\AdminServer\tmp_WL_user\adf.oracle.domain.webapp\i83uao

• Copiare tutti i file jar qui presenti in una cartella separata, condividerla con la macchina attaccante (nell'ambiente lab si fa così, nell'attacco reale anche la macchina attaccante deve installare come la macchina target per ottenere il codice sorgente)

• Aggiungere anche la libreria coherence.jar al percorso $Oracle_Home\coherence\lib in questa cartella.

• Questa è una cartella importante che determina il successo del payload perché ogni versione di FMW o BI o l'ambiente di ogni macchina installata è spesso diverso, quindi è necessario avere la versione esatta per ridurre i rischi o le eccezioni durante la trasmissione del payload.

Passo 10 (da eseguire solo se è necessario il debug remoto, ribadiamo: se si testa in un ambiente reale, poiché non è possibile configurare la macchina della vittima a piacere, l'attaccante deve eseguire anche la configurazione della macchina target sulla propria macchina per poter eseguire il debug remoto e controllare gli errori)

• Installare mozilla, aggiungere il proxy Burp sulla porta 8181

• Attivare Remote Debug sul lato server BI

  Accedere a localhost:9500/console

  In Domain Structure -> selezionare bi -> Environment -> Servers

Verranno visualizzati due server: AdminServer di weblogic e bi_server1 di BI

Selezionare Lock & Edit nell'angolo in alto a sinistra, selezionare bi_server1 per modificare la configurazione. Qui, selezionare Configuration -> Server start -> Scorrere fino in fondo, selezionare Advance (se presente) -> Selezionare per inserire Arguments -> Inserire i parametri di debug:

-Xdebug -Xnoagent – Xrunjdwp:transport=dt_socket,address=5005,server=y,suspend=n

(si può provare con 0.0.0.0:5005 se in seguito non si riesce a riavviare bi_server1)

Inserire la password di weblogic (impostata in precedenza nella sezione Config BI Domain)-> Applica le modifiche e riavvia

Avviare il terminale come Amministratore -> Navigare al percorso $Oracle_Home\user_projects\domains\bi\bitools\bin eseguire ./stop.cmd e ./start.cmd per riavviare bi_server1; durante il riavvio, se non si verificano errori, il debug è stato attivato e ascolta sulla porta 5005 come sopra. Se si verificano errori, controllare i parametri di debug per spazi extra o errori nella parte address.

Lato macchina attaccante

Passo 1: Scaricare IntelliJ IDEA Ultimate, attivarlo con un codice trovato su github.

Passo 2 (Eseguire questo passaggio solo se durante l'attacco si verifica un errore come 500 Server Error, ... , ciò è dovuto a un'eccezione nel payload)

1. Modificare la versione jdk – sdk del progetto in modo che corrisponda a quella della macchina target (installazione come in Parte macchina target - Passo 1)

2. Creare un progetto vuoto per analizzare il codice sorgente, per il debug remoto, 3. Aggiungere tutti i file jar ricevuti dalla cartella della macchina target a questo progetto

   Project Structure -> Modules -> Selezionare il segno + -> 1 JARS or Directories -> Aggiungere l'intera cartella jar.

4. Impostare Remote Debug

   Run -> Edit Configurations -> + -> Remote JVM Debug

Passo 3:

• Clonare il codice da questo repository sulla propria macchina, eliminare il vecchio file coherence.jar nella cartella lib e sostituirlo con il file ricevuto dalla macchina target al passo precedente.

• Successivamente, aggiungerlo a un progetto eseguito con IntelliJ, aggiungere i file jar in lib con l'opzione Add as library

• Controllare che il nome della classe LambdaIdentity$.... corrisponda alla versione di Weblogic, se ci sono modifiche, rifattorizzare il file e modificare il nome del file.

  Weblogic 12.2.1.3: LambdaIdentity$E12ECA49F06D0401A9D406B2DCC7463A

  Weblogic 12.2.1.4: LambdaIdentity$423B02C050017B24DB10DFF759AA56BF

• Modificare il percorso per il file LambdaIdentity$....class nel file Main.java. Per ottenere il percorso esatto, ci sono due modi: eseguire javac sul file jar per generare il file .class; un altro approccio è commentare il codice della funzione main, quindi eseguire il progetto normalmente, il percorso del file class può essere trovato nella cartella target.

• Controllare che jdk e sdk del progetto corrispondano a quelli della macchina target.

Analisi del codice BI e del codice che genera il payload

Analisi del codice BI

1. Al percorso $Oracle\Middleware\Oracle_Home\user_projects\domains\bi\servers\AdminServer\tmp_WL_user\em\fw8wi5\war\WEB-INF

Vediamo il file web.xml, questo file descrive le relazioni di mapping relative a servlet-mapping. "resources" è il servlet relativo alle risorse di sistema, contiene dati e informazioni importanti, pertanto è spesso preso di mira dagli attaccanti.

2. Approfondendo la classe ResourceServlet, in particolare org.apache.myfaces.trinidad.webapp.ResourceServlet, vedremo la funzione doGet che gestisce le richieste get inviate al server.

• Qui, tramite il metodo _getResourceLoader(), viene creato un nuovo loader dalla richiesta in input. Contemporaneamente viene inizializzato un resourcePath che riceve il valore di servletPath e servletInfo tramite il metodo getResourcePath con il parametro request. Quel loader chiama la funzione getResource(resourcePath), cercando di caricare la risorsa dalla request in input e di trovarla tramite la funzione org.apache.myfaces.trinidad.resource.ResourceLoader.getResource.findResource(), infine il valore trovato viene passato a un'istanza url della classe URL.class.

• _getResourceLoader mantiene una ConcurrentMap per memorizzare la relazione di mapping tra servletPath e loaders. Questa relazione è definita chiaramente in oracle.adfinternal.view.resource.rich.RenderKitResourceLoader

• Il metodo _register nella funzione RenderKitResourceLoader() viene chiamato e riceve le regex + il loader corrispondente, quindi restituisce super.register che è la sua funzione padre. Questa funzione aggiunge alla concurrentmap_loaders il pattern e il loader corrispondenti. Pertanto, quando il loader viene inizializzato nella funzione doGet() e riceve il parametro request in input, il valore servletPath dall'url della richiesta viene prelevato e passato a _loader.get() per ottenere il servlet corrispondente.

• L'autore della vulnerabilità ritiene che tra le classi che contengono un override del metodo findResource(), oracle.adfinternal.view.resource.rich.RemoteApplicationResourceLoader sia la classe che presenta il rischio di deserializzazione. Analizziamola per trovare il motivo.

Analisi della funzione findResource() in RemoteApplicationResourceLoader.class

Questa funzione restituisce un metodo che contiene un protocollo personalizzato RAStreamHandler(). RAStreamHandler crea un oggetto URLConnection con valore new RAURLConnection

La funzione RAURLConnection chiama la funzione _getPathBean

La funzione _getPathBean contiene un oggetto bean creato tramite la chiamata alla funzione getInstanceFromString() che elabora la stringa in input per ottenere le chiavi corrispondenti (filtro).

La stringa bean in input viene convertita tramite la classe SerializationUtils dalla forma URL encoded in un oggetto URLEncoderPathBean. Se tutto procede correttamente, l'input successivo viene passato alla funzione fromURLEncodeString().

Se la stringa in input incontra un errore, viene lanciata un'eccezione. L'eccezione proviene principalmente dalla libreria utilizzata nel payload, a causa di versioni non corrispondenti o di un percorso errato per il file Lambda.

Nella funzione fromURLEncodedString(), viene restituita una funzione fromString con parametro url, e il suo codice è il seguente:

Nella funzione fromString i dati vengono readObject() e restituiti. Si può notare che l'input non viene filtrato. Passa attraverso diverse funzioni e alla fine viene deserializzato in fromString(). Questo è il sink per lo sfruttamento. Ora che abbiamo il sink, dobbiamo trovare la source.

3. Trovare la source: come analizzato sopra, per trovare la source è necessario identificare l'url della richiesta in input. Vediamo che per chiamare la funzione findResource() è necessario poter instradare verso la classe RemoteApplicationResourceLoader. Nella classe RenderKitResourceLoader è definito molto chiaramente:```bash this._register("/./remote/(.)", new RemoteApplicationResourceLoader());