CVE-2022-30929

CVE-2022-30929 POC

[Descrizione suggerita] Mini-Tmall v1.0 è vulnerabile a permessi non sicuri tramite tomcat-embed-jasper.

---

[Tipo di vulnerabilità] Permessi non sicuri

---

[Fornitore del prodotto] github;gitee

---

[Base del codice prodotto interessato] https://github.com/robin-liyong/-Mini-Tmall-:https://gitee.com/project_team/Tmall_demo?_from=gitee_search - v1.0

---

[Componente interessato] tomcat-embed-jasper

---

[Tipo di attacco] Remoto

---

[Esecuzione del codice di impatto] vero

---

[Vettori di attacco] senza nulla

---

[Riferimento] https://t.me/WangPanBOT?start=file96eb2dc53cc57847

---

[Scopritore] jw5t

Usa CVE-2022-30929.

exp

Ricerca globale del caricamento

Dopo l'audit, il filtro di questo framework verifica solo i permessi dell'utente, mentre gli altri non sono filtrati.

Altri hanno restrizioni sui tipi di file nei file jsp, che possono essere facilmente bypassati con burp

Caricamento avatar amministratore

image-20220507170454885

Tre punti da modificare, e bisogna intercettare i pacchetti di risposta

ottenere il nome file 09820699-ecd5-4fcd-876a-07f8a46987be.jsp

Dopo il salvataggio, in base all'indirizzo URL dell'immagine dall'audit del codice

/tmall/res/images/item/adminProfilePicture/

fare una concatenazione

ottenere /tmall/res/images/item/adminProfilePicture/09820699-ecd5-4fcd-876a-07f8a46987be.jsp

Frontend Tmall - cambio avatar utente

Prima registrare un account, e dopo la registrazione riuscita

ottenuto dopo la concatenazione

/tmall/res/images/item/userProfilePicture/e568b7c4-7954-4a18-ab65-707198332d21.jsp

accedere

Caricamento immagine prodotto-ajax e caricamento immagine tipo prodotto-ajax (ci sono due upload di file per lo stesso punto funzionale)

838d284e-e625-48b8-bbc7-8275367d5601.jsp