CVE-2022-25813: Iniezione di Template lato server FreeMarker in Apache OfBiz

Inserendo contenuti malevoli nel campo "Oggetto" di un messaggio, un attaccante può effettuare attacchi SSTI (Server-Side Template Injection), che possono sfruttare gli oggetti esposti di FreeMarker per bypassare le restrizioni e ottenere RCE (Remote Code Execution).

Nota: Sebbene questa vulnerabilità richieda l'interazione di un utente valido per attivare la SSTI, il payload malevolo può essere inviato da qualsiasi attaccante non autenticato che crei un account e-commerce.

Divulgazione del fornitore:

La divulgazione del fornitore e la correzione per questa vulnerabilità si trovano qui.

Requisiti:

Questa vulnerabilità richiede:

• Registrazione di un nuovo utente o credenziali utente valide
• Interazione di un utente amministrativo

Prova di concetto:

Maggiori dettagli e il processo di sfruttamento si trovano in questo PDF.

Risorse aggiuntive: