MAL-001：Liferay Portal 中的 FreeMarker 服务端模板注入

在 Liferay - Portal <=7.4.3.12-ga12 中发现了一个问题。通过在 FTL 模板中插入恶意内容，攻击者可以发起 SSTI（服务端模板注入）攻击，利用 FreeMarker 暴露的对象来绕过限制，并执行 SSRF（服务端请求伪造）、读取任意文件和/或获得 RCE（远程代码执行）。

注意：此问题之所以存在，是因为 CVE-2020-13445 的修复不完整。

为什么没有 CVE？

Liferay 是 MITRE CNA 计划的成员，并且已决定：由于利用该 SSTI 需要用户权限，该漏洞所带来的风险不足以授予 CVE 或发布安全通告。

要求：

该漏洞需要：

• 具有“超级用户”、“站点管理员”或“站点所有者”角色的有效用户凭据

概念验证：

更多详情和利用过程可参见此 PDF。

其他资源：

最初的漏洞（CVE-2020-13445） 以及由 Alvaro "pwntester" Munoz 撰写的博文，启发了本次对 SSTI 的研究以及该漏洞的发现。

HSQL RCE 攻击向量受 Mikhail Klyuchnikov 的博文《F5 Big‑IP 中的远程代码执行》 启发。

时间线：

• 该漏洞最初于 2022 年 2 月 26 日报告给 [email protected]
• 该漏洞被视为非问题，因为“编辑模板的权限应仅授予受信任用户”
• 于 2023 年 1 月 18 日重新测试该漏洞，并注意到：
  • 任意文件读取和 SSRF 攻击向量已被修补
  • RCE 已通过针对 CVE-2022-41853 的 HSQL 补丁得到修复
• 于 2024 年 1 月 3 日公开披露该漏洞