MAL-012: Payara Server Admin Console의 반사형 크로스 사이트 스크립팅으로 인한 원격 코드 실행

Payara Admin Console에서 반사형 크로스 사이트 스크립팅(XSS) 공격이 발견되었습니다. 관리자 사용자가 악성 URL에 접속하고 “Choose File” 버튼을 클릭하도록 유도함으로써, 공격자는 임의의 JavaScript 코드를 실행하여 사용자를 사칭하고 관리자 기능을 악의적인 목적으로 악용할 수 있습니다.

XSS가 Payara Admin Console에 존재하기 때문에, 공격자는 이를 사용하여 관리자 기능(예: H2 연결 문자열, 웹 애플리케이션 배포 등)을 활용하는 임의의 요청을 수행함으로써 원격 코드 실행(RCE)을 얻을 수 있습니다.

왜 CVE가 없나요?

2022년의 반사형 XSS에 대해 CVE를 요청하기가 귀찮았지만, RCE로 이어지는 async "fetch" 기반 JS 스크립트와 " target="_blank" " HTML 트릭이 꽤 마음에 들어 이 writeup을 게시하기로 결정했습니다. 유용하거나 재미있게 보시길 바랍니다.

요구 사항:

이 취약점을 악용하려면 다음이 필요합니다:

• 정당한 Payara Server 관리자 사용자가 악성 URL에 접속하고 "Choose File" 버튼을 클릭하도록 유도

개념 증명(PoC):

자세한 내용과 악용 과정은 이 PDF에서 확인할 수 있습니다.

타임라인:

• H2 RCE는 2022년 3월 22일에 [email protected]로 보고되었습니다
• RCE는 WAR 배포와 같은 다른 핵심 기능을 포함하는 관리 콘솔에서 인증 후에 발생하므로 문제가 아닌 것으로 간주되었습니다
• RCE를 수행하는 데 활용될 수 있는 관리 콘솔의 반사형 XSS를 발견하여 2022년 3월 25일에 보고했습니다
• 2022년 4월 1일에 마지막 이메일을 보냈으며, 그 이후로 어떤 연락도 받지 못했습니다
• 2025년 4월 13일에 취약점을 공개적으로 공개했습니다