MAL-001: Server-Side Template Injection di FreeMarker in Liferay Portal

È stato scoperto un problema in Liferay - Portal <=7.4.3.12-ga12. Inserendo contenuti dannosi nei modelli FTL, un attaccante può effettuare attacchi SSTI (Server-Side Template Injection), che possono sfruttare gli oggetti esposti di FreeMarker per aggirare le restrizioni, effettuare SSRF (Server-Side Request Forgery), leggere file arbitrari e/o ottenere RCE (Remote Code Execution).

Nota: Questo problema esiste a causa di una correzione incompleta per CVE-2020-13445.

Perché nessuna CVE?

Liferay fa parte del programma MITRE CNAs e ha deciso che, a causa dei privilegi utente necessari per sfruttare la SSTI, la vulnerabilità non rappresenta un rischio sufficientemente elevato da giustificare una CVE o un advisory di sicurezza.

Requisiti:

Questa vulnerabilità richiede:

• Credenziali utente valide con il ruolo "Power User", "Site Administrator" o "Site Owner"

Prova di concetto:

Ulteriori dettagli e il processo di sfruttamento sono disponibili in questo PDF.

Risorse aggiuntive:

La vulnerabilità iniziale (CVE-2020-13445) e il post del blog di Alvaro "pwntester" Munoz che hanno ispirato la ricerca sulla SSTI e la scoperta di questa vulnerabilità.

Il vettore RCE HSQL è stato ispirato dal post del blog "Remote Code Execution in F5 Big‑IP" di Mikhail Klyuchnikov.

Cronologia:

• Questa vulnerabilità è stata inizialmente segnalata a [email protected] il 26-Feb-2022
• La vulnerabilità è stata considerata un non-problema in quanto "l'autorizzazione a modificare i modelli dovrebbe essere concessa solo a utenti fidati"
• La vulnerabilità è stata ritestata il 18-Jan-2023 e si è notato che:
  • I vettori di lettura arbitraria dei file e SSRF sono stati corretti
  • La RCE è stata risolta dalla patch HSQL per CVE-2022-41853
• La vulnerabilità è stata divulgata pubblicamente il 03-Jan-2024