搜索

[13576] 2018-12-26_Nuxeo认证绕过和RCE漏洞（CVE-2018-16341)分析

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2018-12-26_Nuxeo认证绕过和RCE漏洞（CVE-2018-16341)分析 N u x e o 认 证 绕 过 和 R C E 漏 洞 （ C V E - 2 0 1 8 - 1 6 3 4 1 ) 分 析 F r e e B u f   2 0 1 8 - 1 2 - 2 6 以 下 文 章 来 源 于 网 藤 风 险 感 知   ， 作 者 T C C - 星 光 简 介 N u x e o   P l a t f o r m 是 一 款 跨 平 台 开 源 的 企 业 级 内 容 管 理 系 统 （ C M S ） 。 n u x e o - j s f - u i 组 件 处 理 f a c e l e t 模 板 不 当 ， 当 访 问 的 f a c e l e t 模 板 不 存 在 时 ， 相 关 的 文 件 名 会 输 出 到 错 误 页 面 上 ， 而 错 误 页 面 会 当 成 模 板 被 解 析 ， 文 件 名 包 含 表 达 式 也 会 被 输 出 同 时 被 解 析 执 行 ， 从 而 导 致 远 程 代 码 执 行 漏 洞 。 在 漏 洞 挖 掘 过 程 中 发 现 n u x e o - j s f 组 件 默 认 在 1 0 . 2 没 有 安 装 ， 历 史 版 本 是 默 认 就 安 装 的 。 可 以 通 过 n u x e o c t l   m p - i n s t a l l   n u x e o - j s f - u i   命 令 安 装 。 本 文 介 绍 的 两 个 漏 洞 由 笔 者 发 现 并 提 交 给 官 方 ， C V E 编 号 为 ： C V E - 2 0 1 8 - 1 6 3 4 1 。 有 趣 的 是 在 官 方 1 0 . 3 版 本 的 发 布 日 志 中 并 没 有 提 及 该 漏 洞 ( C V E - 2 0 1 8 - 1 6 3 4 1 ) ， 但 实 际 已 被 修 复 。 影 响 范 围 影 响 范 围 N u x e o   S e r v e r 版 本   <   1 0 . 3 漏 洞 复 现 漏 洞 复 现 通 过 在 官 网 下 载 N u x e o   1 0 . 2 的 安 装 包 在 本 地 安 装 ， 使 用 默 认 密 码 登 陆 A d m i n i s t r a t o r / A d m i n i s t r a t o r 。 在 登 陆 状 态 下 访 问 t e s t $ { 1 1 * 1 1 } . x h t m l ， 可 以 看 到 表 达 式 被 执 行 执 行 系 统 命 令 执 行 系 统 命 令 N u x e o   是 构 建 在 S e a m   F r a m e w o r k 之 上 的 ,   S e a m 是 由 J b o s s 开 发 的 W e b 应 用 程 序 框 架 ， 在 前 几 年 比 较 流 行 ， 但 依 然 有 很 多 应 用 程 序 使 用 了 S e a m 。 当 用 E L 来 执 行 任 意 系 统 命 令 时 ， S e a m 内 部 对 E L 的 解 析 有 一 定 的 防 护 ， 用 下 面 的 P a y l o a d 可 绕 过 。 网 藤 风 险 感 知 网 藤 风 险 感 知   . 斗 象 科 技 以 人 工 智 能 、 大 数 据 技 术 为 核 心 ， 实 战 攻 防 与 漏 洞 情 报 为 引 领 ， 自 主 研 发 的 新 一 代 智 能 安 全 产 品 解 决 方 案 。
认 证 绕 过 认 证 绕 过 在 不 登 陆 的 情 况 下 ， 是 无 法 访 问 f a c e l e t 模 板 的 ， 如 果 需 要 登 陆 才 能 命 令 执 行 ， 漏 洞 略 显 得 有 点 鸡 肋 。 发 现 可 以 通 过 l o g i n . j s p / % 2 4 % 7 b % 3 1 % 3 1 % 2 a % 3 1 % 3 1 % 7 d . x h t m l   绕 过 访 问 。 认 证 绕 过 分 析 认 证 绕 过 分 析 通 过 查 看 w e b . x m l 配 置 文 件 ， 开 发 者 为 * . x h t m l 资 源 注 册 了 名 为 N u x e o A u t h e n t i c a t i o n F i l t e r 的 过 滤 器 和 F a c e s   S e r v l e t 。 凭 借 经 验 认 证 工 作 应 该 在 f i l t e r 处 理 。 通 过 调 试 发 现 ， 在 N u x e o A u t h e n t i c a t i o n F i l t e r 类 中 的 b y p a s s A u t h 方 法 中 有 相 关 逻 辑 进 入 到 该 方 法 中 ， u n A u t h e n t i c a t e d U R L P r e f i x 是 一 个 列 表 ， 值 为 [ “ l o g i n . j s p ” , ” w e b s e r v i c e s / ” ]   ， r e q u e s t P a g   只 要 以   u n A u t h e n t i c a t e d U R L P r e f i x   数 组 中 的 字 符 串 开 头 就 不 会 验 证 用 户 身 份 。 $ { " " . g e t C l a s s ( ) . f o r N a m e ( " j a v a . l a n g . R u n t i m e " ) . g e t M e t h o d ( " g e t R u n t i m e " , n u l l ) . i n v o k e ( n u l l , n u l l ) . e x e c ( " c a l c " , n u l l ) . t o S t r i n g ( ) }
根 据 注 册 的 F a c e s   S e r v l e t 规 则 ” * . h t m l ” ，   l o g i n . j s p / t e s t . x h t m l   肯 定 是 匹 配 的 ， 如 果 要 对 资 源 进 行 访 问 控 制 肯 定 要 先 进 入 到 访 问 控 制 逻 辑 中 的 ， 但 是 访 问 控 制 逻 辑 中 只 是 通 过 s t a r t s W i t h 方 法 来 比 较 的 ， 肯 定 也 是 符 合 的 ， 所 以 l o g i n . j s p / t e s t . x h t m l 这 个 路 径 可 以 绕 过 N u x e o A u t h e n t i c a t i o n F i l t e r 认 证 控 制 进 入 到 F a c e s   S e r v l e t （ 模 版 相 关 ） 中 。 可 能 会 问 ， 那 我 使 用 / w e b s e r v i c e s / x x . x h t m l 是 不 是 也 可 以 绕 过 呢 ？ 答 案 是 不 可 以 。 对 / w e b s e r v i c e s / * 资 源 注 册 了 另 一 个 S e r v l e t ， 一 个 请 求 只 能 被 一 个 S e r v l e t 处 理 ， 这 个 注 册 方 式 优 先 级 更 高 。 R C E 分 析 分 析 先 来 一 张 案 发 现 场 的 图 ， i s 变 量 含 有 用 户 可 控 的 内 容 进 入 到 了 p a r s e 方 法 中 。 s r c 的 h a n d l e r 为 N u x e o N o t F o u n d R e s o u r c e H a n d l e r ， 看 下 实 现 ，
g e t I n p u t S t r e a m 中 的 错 误 信 息 中 包 含 表 达 式 ， 也 会 进 入 p a r s e 方 法 中 执 行 ，   即 请 求 的 路 径 不 存 在 时 将 会 把 路 径 当 成 源 内 容 返 回 给 调 用 者 ， 这 里 就 会 进 入 到 模 版 的 p a r s e 方 法 中 ， 然 后 就 被 解 析 执 行 了 。 补 丁 分 析 补 丁 分 析 h t t p s : / / g i t h u b . c o m / n u x e o / n u x e o / c o m m i t / e b 5 4 a 9 1 4 5 c 6 d 8 2 9 7 e b a 9 d 7 d a f c 7 4 5 5 6 e 7 3 5 f a 3 8 8 # d i f f - c f 2 0 9 4 8 3 3 e f 0 e e a 4 7 3 d 0 3 b f 6 5 5 9 f 1 7 9 8 R 9 7 这 是 通 过 过 滤 的 方 式 修 复 的 ， 在 g e t I n p u t S t r e a m 中 ， 只 有 当 路 径 中 不 包 含 ” # ” 和 ” $ ” 时 才 会 把 路 径 输 出 到 输 入 流 中 ， 这 样 就 无 法 执 行 E L 了 。 参 考 链 接 参 考 链 接 h t t p s : / / d o c . n u x e o . c o m / n x d o c / n u x e o - j s f - u i / h t t p : / / b l o g . o r a n g e . t w / 2 0 1 8 / 0 8 / h o w - i - c h a i n e d - 4 - b u g s - f e a t u r e s - i n t o - r c e - o n - a m a z o n . h t m l h t t p s : / / g i t h u b . c o m / n u x e o / n u x e o 作 者 ： 斗 象 能 力 中 心   T C C   –   星 光
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理