[CVE-2024-54160]-OpenSearch HTML-инъекция + Хранимый XSS

Было обнаружено, что плагин OpenSearch под названием "reports" был уязвим к HTML-инъекции в версии 2.18.0. Функциональность отчетов позволяла пользователям сохранять HTML в заголовке и подвале при создании нового определения отчета. Ниже приведено краткое доказательство концепции, где я сохранил iframe в функции заголовка, который загружал JavaScript-кейлоггер с моей локальной машины, записывающий нажатые пользователем клавиши.

PoC

1. Отредактируйте файл keylogger.html и добавьте локальный IP-адрес, на котором запущен python3 http.server.
2. Сохраните keylogger.html
3. Запустите сервер python3 с помощью "python3 -m http.server" в той же папке, где находится файл keylogger.html
4. Перейдите в Reports
5. Заполните обязательные поля
6. Выберите PDF
7. Включите заголовок или подвал
8. Введите полезную нагрузку iframe -> :8000/keylogger.html">
9. Нажмите "Preview" - Кейлоггер должен загрузиться с python-сервера
10. Напечатайте что-нибудь на клавиатуре и наблюдайте за ответом на python-сервере

Скриншот PoC в действии

• Содержимое iframe отображается слева (знаю, что оно простое и уродливое, но для PoC годится :) ).
• Записанные нажатия клавиш показаны справа. (Хотя PoC кейлоггера был неоптимальным, так как пропустил некоторые нажатия!)

Меры по устранению

Это исправлено в OpenSearch версии 2.19, где данные, передаваемые в функции подвала/заголовка, очищаются с помощью DOMpurify.

Примечания к выпуску https://github.com/opensearch-project/opensearch-build/blob/main/release-notes/opensearch-release-notes-2.19.0.md

PR от OpenSearch

https://github.com/opensearch-project/dashboards-reporting/pull/476

Хранимый XSS

Версия 2.17.9. также была признана уязвимой к хранимому межсайтовому скриптингу (XSS) в той же функциональности (подвал/заголовок).

Это также исправлено в версии 2.19.0.

CVE

https://www.cve.org/CVERecord?id=CVE-2024-54160