MAL-012: 管理コンソールの反射型クロスサイトスクリプティングによるPayara Serverのリモートコード実行

Payara Admin Consoleで、反射型クロスサイトスクリプティング（XSS）攻撃が発見されました。管理者ユーザーに悪意のあるURLにアクセスさせ、「ファイルを選択」ボタンをクリックさせることで、攻撃者は任意のJavaScriptコードを実行し、ユーザーになりすまして管理機能を悪意のある目的に利用できます。

XSSがPayara Admin Console内にあるため、攻撃者はこれを利用して、管理機能（例：H2接続文字列、Webアプリケーションのデプロイなど）を悪用する任意のリクエストを実行し、リモートコード実行（RCE）を達成できます。

なぜCVEがないのか？

2022年の反射型XSSに対してCVEをリクエストする気にはなれなかったが、RCEにつながるasync "fetch"ベースのJSスクリプトと " target="_blank" " というHTMLのトリックがとても気に入っているため、このwriteupを投稿することにした。お役に立てるか、楽しんでいただければ幸いです。

要件:

この脆弱性の悪用には以下が必要です：

• 正規のPayara Server管理者ユーザーに悪意のあるURLにアクセスさせ、「ファイルを選択」ボタンをクリックさせること

概念実証:

詳細と悪用プロセスは、この PDF に記載されています。

タイムライン:

• H2 RCEは2022年3月22日に [email protected] に報告されました
• RCEは認証後に管理コンソールで発生するものであり、その管理コンソールにはWARのデプロイなどの他の主要機能も含まれているため、問題ではないと見なされました
• 2022年3月25日、管理コンソール内の、RCEを実行するために悪用可能な反射型XSSを発見し、報告しました
• 2022年4月1日に最後のメールを送信しましたが、その後連絡は一切ありませんでした
• 2025年4月13日にこの脆弱性を公開開示しました