WSO2 RCE（CVE-2022-29464）のエクスプロイトとWriteup。

詳細

CVE-2022-29464 はWSO2の深刻な脆弱性です。この脆弱性は、認証不要かつ制限のない任意のファイルアップロードであり、認証されていないユーザーが悪意のあるJSPファイルをWSO2サーバーにアップロードし、リモートコード実行（RCE）を達成することを可能にします。

脆弱なアップロードルートは /fileupload であり、これは FileUploadServlet サーブレットによって処理されます。そして、indentity.xml 設定ファイルで確認できるように、このルートはIAMによって保護されていません。```xml

関数 'handleSecurity()' は、WSO2が提供する様々なルートを保護する役割を担い、受信したHTTPリクエストに対してセキュリティチェックを実行する仕組みを提供します。'handleSecurity()' は 'CarbonUILoginUtil.handleLoginPageRequest()' を呼び出し、その戻り値に基づいて、要求されたURIへのアクセスを許可するか拒否するかが決定されます。```java
    public boolean handleSecurity(HttpServletRequest request, HttpServletResponse response)
            throws IOException {
	[snipped]
        if ((val = CarbonUILoginUtil.handleLoginPageRequest(requestedURI, request, response,
                authenticated, context, indexPageURL)) != CarbonUILoginUtil.CONTINUE) {
            if (val == CarbonUILoginUtil.RETURN_TRUE) {
                return true;
            } else {
                return false;
            }
        }
	[snipped]
    }

[`execute()`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/FileUploadExecutorManager.java#L430)は、先に作成された`HashMap<Action, Class>`をループし、`actionString`と等しいアクション（キー）を見つけ、見つかった場合、そのアクションに関連付けられたオブジェクトの`executeGeneric()`メソッドが呼び出されます。デフォルト設定には以下の7つのアクションがあります： * `keystore`、`certificate`、`*` は `org.wso2.carbon.ui.transports.fileupload.AnyFileUploadExecutor` によって処理されます * `jarZip` は `org.wso2.carbon.ui.transports.fileupload.JarZipUploadExecutor` によって処理されます * `dbs` は `org.wso2.carbon.ui.transports.fileupload.DBSFileUploadExecutor` によって処理されます * `tools` は `org.wso2.carbon.ui.transports.fileupload.ToolsFileUploadExecutor` によって処理されます * `toolsAny` は `org.wso2.carbon.ui.transports.fileupload.ToolsAnyFileUploadExecutor` によって処理されますこれらの各オブジェクトはアップロードを異なる方法で処理し、一部は特定の拡張子を受け入れます。任意のファイル書き込みに対して脆弱であると最初に発見したのは `toolsAny` ([`ToolsAnyFileUploadExecutor`](https://github.com/wso2/carbon-kernel/blob/4.4.x/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/ToolsAnyFileUploadExecutor.java)) でした。 `ToolsAnyFileUploadExecutor` には `executeGeneric()` メソッドはありませんが、 [`AbstractFileUploadExecutor`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/AbstractFileUploadExecutor.java#L61) を継承しており、そちらには [`executeGeneric()`](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/AbstractFileUploadExecutor.java#L97) メソッドがあります：```java boolean executeGeneric(HttpServletRequest request, HttpServletResponse response, ConfigurationContext configurationContext) throws IOException {//, // CarbonException { this.configurationContext = configurationContext; try { parseRequest(request); return execute(request, response); } catch (FileUploadFailedException e) { sendErrorRedirect(request, response, e); } catch (FileSizeLimitExceededException e) { sendErrorRedirect(request, response, e); } catch (CarbonException e) { sendErrorRedirect(request, response, e); } return false; }

ServletRequestContext servletRequestContext = new ServletRequestContext(request); boolean isMultipart = ServletFileUpload.isMultipartContent(servletRequestContext); Long totalFileSize = 0L; if (isMultipart) { List items; try { items = parseRequest(servletRequestContext); } catch (FileUploadException e) { String msg = "File upload failed"; log.error(msg, e); throw new FileUploadFailedException(msg, e); } boolean multiItems = false; if (items.size() > 1) { multiItems = true; } // Add the uploaded items to the corresponding maps. for (Iterator iter = items.iterator(); iter.hasNext();) { FileItem item = (FileItem) iter.next(); String fieldName = item.getFieldName().trim(); if (item.isFormField()) { if (formFieldsMap.get().get(fieldName) == null) { formFieldsMap.get().put(fieldName, new ArrayList<String>()); } try { formFieldsMap.get().get(fieldName).add(new String(item.get(), "UTF-8")); } catch (UnsupportedEncodingException ignore) { } } else { String fileName = item.getName(); if ((fileName == null || fileName.length() == 0) && multiItems) { continue; } if (fileItemsMap.get().get(fieldName) == null) { fileItemsMap.get().put(fieldName, new ArrayList<FileItemData>()); } totalFileSize += item.getSize(); if (totalFileSize < totalFileUploadSizeLimit) { fileItemsMap.get().get(fieldName).add(new FileItemData(item)); } else { throw new FileSizeLimitExceededException(getFileSizeLimit() / 1024 / 1024); } } } } }

最初に、POSTリクエストがマルチパートPOSTリクエストであることを確認し、アップロードされたファイルを抽出して、POSTリクエストに少なくとも1つのアップロードファイルが含まれていることを確認し、最大ファイルサイズに対して検証します。 `parseRequest()`から戻った後、`executeGeneric()`は`execute()`メソッドを呼び出します。このメソッドは`ToolsAnyFileUploadExecutor`によって[オーバーライド](https://github.com/wso2/carbon-kernel/blob/d47232dfb2b26c0ef18a74e2ef4aa503caa59697/core/org.wso2.carbon.ui/src/main/java/org/wso2/carbon/ui/transports/fileupload/ToolsAnyFileUploadExecutor.java#L36)されています。```java @Override public boolean execute(HttpServletRequest request, HttpServletResponse response) throws CarbonException, IOException { PrintWriter out = response.getWriter(); try { Map fileResourceMap = (Map) configurationContext .getProperty(ServerConstants.FILE_RESOURCE_MAP); if (fileResourceMap == null) { fileResourceMap = new TreeBidiMap(); configurationContext.setProperty(ServerConstants.FILE_RESOURCE_MAP, fileResourceMap); } List<FileItemData> fileItems = getAllFileItems(); //String filePaths = ""; for (FileItemData fileItem : fileItems) { String uuid = String.valueOf( System.currentTimeMillis() + Math.random()); String serviceUploadDir = configurationContext .getProperty(ServerConstants.WORK_DIR) + File.separator + "extra" + File .separator + uuid + File.separator; File dir = new File(serviceUploadDir); if (!dir.exists()) { dir.mkdirs(); } File uploadedFile = new File(dir, fileItem.getFileItem().getFieldName()); try (FileOutputStream fileOutStream = new FileOutputStream(uploadedFile)) { fileItem.getDataHandler().writeTo(fileOutStream); fileOutStream.flush(); } response.setContentType("text/plain; charset=utf-8"); //filePaths = filePaths + uploadedFile.getAbsolutePath() + ","; fileResourceMap.put(uuid, uploadedFile.getAbsolutePath()); out.write(uuid); } //filePaths = filePaths.substring(0, filePaths.length() - 1); //out.write(filePaths); out.flush(); } catch (Exception e) { log.error("File upload FAILED", e); out.write("<script type=\"text/javascript\">" + "top.wso2.wsf.Util.alertWarning('File upload FAILED. File may be non-existent or invalid.');" + "</script>"); } finally { out.close(); } return true; }

CVE-2022-29464

人気

詳細