Пока не вчитывался в новую CVE-2023-22518 10/10, но знаю о

Question

Пока не вчитывался в новую CVE-2023-22518 10/10, но знаю о

CVE-2023-22515 и думаю, что они похожи.

То, почему она стала возможна, заключается в особенностях маршрутизации внутри фреймворка, который использует Confluence.

А работает он на базе Apache Struts, который, в свою очередь, использует XWork.

Это важно, потому что особенность XWork позволяет определять действия "Action" в виде Java-классов. Открываем страницу http://<confluence>/login.action, у приложения вызывается метод "execute" класса "Login".

А еще XWork умеет взаимодействовать с геттерами и сеттерами с помощью CGI-параметров. Добавим к прошлому URL ?Id=123 и вызовем setId("123") из уже знакомого Login.

У Login есть метод, который возвращает объект BootstrapStatusProvider, мы тоже можем его вызвать. А тот, в свою очередь, расширяет ActionSupport и наследует уже все его методы.

Ну, вы поняли. Раскрутив всю цепочку из геттеров, можно дойти до самого главного класса ApplicationConfig. Он управляет конфигурацией приложения и у него, как можно было доказаться, есть сеттер setupComplete.

Если мы его переопределим, то сможем заново инициализировать приложение. Для этого достаточно отправить запрос https://<confluence>/server-info.action?bootstrapStatusProvider.applicationConfig.setupComplete=false

А дальше открыть
https://<confluence>/setup/setupadministrator-start.action
поменять пароль админа и зайти.

Сам Confluence организует работу в куче компаний, поэтому его компрометация грозит получением доступа над всем воркспейсом сотрудников.

А эксплоит под новую CVE вы можете взять тут https://github.com/sanjai-AK47/CVE-2023-22518

#php #programming #russian

0

08.11.2023

1 ответов

61 просмотр

Павел Дузов · Answer 1

Павел Дузов Автор вопроса

Супер находка

0

5 месяцев назад

169 похожих чатов

Пока не вчитывался в новую CVE-2023-22518 10/10, но знаю о

1 ответов

Похожие вопросы