Sitecore 10.3 認証済みファイルアップロード脆弱性

著者: Thomas Stern

日付: 2023年1月26日

概要

言語インポート機能を介して任意のファイルをアップロードすることが可能です。このファイルはWebシェルとなり、サーバー上でコードを実行できるようになります。

再現手順

この脆弱性をテストするために、Dockerを使用してローカルマシンにSitecore 10.3インスタンスを起動しました。 この脆弱性は以前のバージョンのSitecoreではテストされていませんが、古いバージョンでも同じ手法で脆弱性が存在する可能性があります。

環境情報

ホスト: Windows 11 Docker for Desktop を実行 Sitecore 10.3

1. Sitecoreにログイン

認証済みの脆弱性であるため、有効な認証情報が必要です。このテストインスタンスでは admin/b を使用しました。

2. ツールボックスに移動

ツールボックスはSitecoreのコントロールパネルにあります。

3. 「言語のインポート」を選択

次に言語インポートを選択します。

4. tempフォルダをインポート

まず「参照」を選択します。

次にtempフォルダを選択します。これがシェルの保存先にもなります。

5. Webシェルをアップロード

テストに使用したコードは、https://github.com/tennc/webshell/blob/master/fuzzdb-webshell/asp/cmdasp.aspx からダウンロードしたシンプルなWebシェルです。デフォルトのcmdではなくPowerShellを実行するために小さな変更を加えました。

「アップロード」ボタンを選択し、シェルファイルを選んで「次へ」を押します。

シェルがアップロードされました。

6. コマンドを実行

アップロードされたシェルにアクセスします: "https://sitename/temp/shell.aspx" シェルがアップロードされると、システム上で完全なコード実行が可能になります。

対策

言語ファイルをアップロードするコードでは、アップロードされるファイルを検証し、aspx、exeなどの実行可能ファイルのみを許可する必要があります。また、言語ファイルはコード実行を許可しないディレクトリにのみアップロードされるべきです。その方法の一つとして、以下のようにweb.configにブロックルールを追加することが挙げられます。これにより、2つのファイルへのすべてのリクエストがブロックされます。

<rule name="BlockFileUpload" enabled="true" patternSyntax="Wildcard" stopProcessing="true">
    <match url="*" />
    <conditions logicalGrouping="MatchAny">
        <add input="{URL}" pattern="*sitecore/shell/Applications/Files/FileBrowser.aspx" />
        <add input="{URL}" pattern="*sitecore/shell/Applications/Dialogs/Upload/Upload2.aspx" />
    </conditions>
    <action type="CustomResponse" statusCode="404" statusReason="File or directory not found." statusDescription="The resource you are looking for might have been removed, had its name changed, or is temporarily unavailable." />
</rule>