MAL-012: Отражённый межсайтовый скриптинг в консоли администратора, приводящий к удалённому выполнению кода в Payara Server

В консоли администратора Payara была обнаружена атака с использованием отражённого межсайтового скриптинга (Reflected Cross Site Scripting, XSS). Убедив администратора перейти по вредоносному URL-адресу и нажать кнопку «Choose File», злоумышленник может выполнить произвольный JavaScript-код, выдавая себя за пользователя и используя функции администратора в вредоносных целях.

Поскольку XSS находится в консоли администратора Payara, злоумышленник может использовать это для выполнения произвольных запросов, задействующих административные функции (например, строки подключения H2, развертывание веб-приложений и т. д.), чтобы получить удалённое выполнение кода (Remote Code Execution, RCE).

Почему нет CVE?

Мне было лень запрашивать CVE для отражённого XSS от 2022 года, но, поскольку мне довольно нравится JS-скрипт на основе асинхронного "fetch", приводящий к RCE, и HTML-трюк с " target="_blank" ", я решил опубликовать этот разбор. Надеюсь, вы найдёте его полезным/занимательным.

Требования:

Для этой уязвимости требуется:

• Убедить легитимного администратора Payara Server перейти по вредоносному URL-адресу и нажать кнопку «Choose File»

Доказательство концепции:

Более подробная информация и процесс эксплуатации приведены в этом PDF.

Хронология:

• H2 RCE был сообщён на [email protected] 22 марта 2022 года
• RCE был сочтён не проблемой, поскольку он происходит после аутентификации в консоли администратора, которая содержит другие основные функции, такие как развертывание WAR-файлов
• Обнаружил и сообщил об отражённом XSS в консоли администратора, который может быть использован для выполнения RCE, 25 марта 2022 года
• Отправил последнее письмо 1 апреля 2022 года, с тех пор никаких ответов не поступало
• Публично раскрыл уязвимость 13 апреля 2025 года