CVE-2018-1000529

NVD CVE-2018-1000529: https://nvd.nist.gov/vuln/detail/CVE-2018-1000529

MITRE CVE-2018-1000529: https://cve.mitre.org/cgi-bin/cvename.cgi?name=2018-1000529

Хранимый XSS в плагине Grails Fields <=2.2.7

Этот репозиторий использовался для демонстрации proof-of-concept уязвимости в рамках ответственного раскрытия команде Grails.

XSS-уязвимость присутствует во всех проектах, использующих Grails v3.3.5 и ниже, поскольку все они включают затронутый плагин Grails Fields v2.2.7 и ниже. Она была исправлена в плагине Grails Fields v2.2.8, который используется в Grails v3.3.6.

Всем проектам, использующим Grails v3.3.5 или ниже, рекомендуется обновиться как минимум до v3.3.6 или указать версию зависимости плагина Grails Fields в build.gradle не ниже v2.2.8.

Поскольку плагин Grails Fields широко используется в Grails Scaffolding, все скаффолд-приложения, использующие Grails v3.3.5 и ниже, потенциально уязвимы. Несмотря на то, что Grails имеет хорошие меры защиты от XSS по умолчанию, любые объекты домена, отображаемые тегами плагина Grails Fields и содержащие HTML- или JavaScript-код, не кодируются и не проверяются и выполняются браузером.

Использование

Клонируйте этот проект и затем запустите приложение локально, выполнив:

Windows

В командной строке / PowerShell:

grailsw.bat run-app

Mac / Linux

В окне терминала:

./grailsw run-app

Запуск PoC

Когда приложение Grails полностью инициализировано, оно отобразит:

Grails application running at http://localhost:8080 in environment: development

1. URL-адрес должен автоматически открыться в браузере по умолчанию; в противном случае откройте браузер и введите URL-адрес вручную.
2. Нажмите на ссылку myapp.TestController
3. После загрузки следующей страницы откроется диалоговое окно JavaScript alert с текстом XSS.

Объект домена Test1 создается во время инициализации и определен в файле grails-app/init/myapp/BootStrap.groovy.
Уязвимость присутствует не только при создании объекта во время BootStrap, но и при его создании через пользовательский ввод в сгенерированном графическом интерфейсе.
Это можно проверить, удалив объект Test1 и добавив новый объект Test с именем: Test1<script>alert('XSS');</script>

Хронология

• 22 мая 2018: Обнаружение и ответственное раскрытие уязвимости автором @martinfrancois
• 24 мая 2018: Подтверждение уязвимости и подача запроса CVE
• 24 мая 2018: Pull request с исправлением уязвимости для Grails v3.x объединен в grails-fields-plugin
• 24 мая 2018: Релиз плагина Grails Fields v2.2.8 для Grails v3.x
• 25 мая 2018: Pull request с исправлением уязвимости для Grails v2.x объединен в grails-fields-plugin
• 25 мая 2018: Релиз плагина Grails Fields v1.6 для Grails v2.x
• 15 июня 2018: Релиз Grails v3.3.6, включающий обновленную зависимость исправленного плагина Grails Fields v2.2.8
• 22 июня 2018: присвоен CVE-2018-1000529
• 26 июня 2018: опубликован CVE-2018-1000529

Огромное спасибо команде Grails за быстрое устранение этой уязвимости, а именно:

• @sdelamo
• @sbglasius
• @ilopmar