CVE-2020-12432

Collabora CODE <= 4.2.2 Vereign의 WOPI API 저장형 XSS 및 안전하지 않은 권한 (계정 탈취) - 4.2.2

영향받는 버전: Collabora CODE <= 4.2.2
악용 요구 사항: 제공된 생성 토큰을 사용하여 Vereign의 /wopi/ API 인터페이스에 접근할 수 있어야 하며, 이는 기본 구성입니다.

Vereign(www.verign.com)이 개발하고 Collabora CODE의 메인 패키지(https://www.collaboraoffice.com/code/)에 통합된 wopi API 인터페이스는 XSS 공격 및 안전하지 않은 파일 접근 권한에 취약합니다. 임의의 HTML 파일이 포함된 문서를 업로드한 후, 특별히 제작된 XSS 리디렉션 링크를 피해자에게 제공하여 localstorage 데이터를 탈취할 수 있습니다.

PoC:

1. 자바스크립트 코드가 포함된 문서 파일을 업로드하고 burp(또는 다른 중간 프록시)를 통해 요청을 가로챕니다. 파일에 HTML 콘텐츠(HTML 폼과 쿠키 및 로컬 저장소 사용자 데이터를 제3자 도메인으로 전송하는 자바스크립트)를 넣습니다.

2. 웹 애플리케이션을 통해 문서에 접근하고 /wopi/getAccessToken 엔드포인트의 API 응답에서 문서 접근 토큰을 얻습니다.

3. 악성 HTML 링크를 피해자에게 보냅니다. iframe이나 포럼 서명에 포함할 수 있습니다:

<a href=https://target.com/wopi/files/10/contents?access_token=<token>   >Click here</a>

4. 피해자가 링크를 열면 모든 쿠키와 로컬 저장소 데이터가 다른 네트워크로 전송된 채 다른 서비스로 리디렉션됩니다.

비디오: https://www.youtube.com/watch?v=_tkRnSr6yc0