Bei der Fehlersuche in einem privaten Bug-Bounty-Programm stieß ich auf eine Funktion innerhalb der Anwendung, die die Generierung von PDF-Dokumenten ermöglichte. Da sich die Benutzereingaben in den generierten PDF-Dokumenten widerspiegelten, beschloss ich, die Einfügung von HTML- und XSS-Nutzdaten zu versuchen.

Ich habe ein bekanntes Tool namens XSSHunter verwendet, mit dem wir blinde Cross-Site-Scripting-Schwachstellen finden können. Zu meiner Überraschung wurde meine Nutzlast sofort ausgeführt und ich konnte den Screenshot und die folgenden Details auf XSSHunter abrufen.

Weitere Untersuchungen ergaben, dass die Nutzlast auf dem Dateipfad ausgeführt wurde

„file:///gotenberg/e86fbc55ef893d878821c1bc76c3b1e3/index.html“.

Gotenberg ist eine Open-Source-API zum Konvertieren von HTML-, Markdown- und Office-Dokumenten in PDF. Es verwendet eine Reihe konfigurierbarer Rendering-Engines, um das Eingabedokument in eine PDF-Datei zu konvertieren. Der Gotenberg-Parser ist die Komponente von Gotenberg, die das Eingabedokument in ein Format umwandelt, das von den Engines gerendert werden kann.

Bei weiteren Tests stellte ich fest, dass der Gotenberg-Parser anfällig für serverseitige Request-Forgery-Angriffe war. Ich konnte erfolgreich eine Nutzlast ausführen, die einen Iframe enthielt, wobei der Quellcode auf „file:///etc/passwd“ eingestellt war . Dadurch konnte ich den Inhalt der Datei „/etc/passwd“ anzeigen .

Diese Art von Sicherheitslücke ermöglicht es einem Angreifer, auf vertrauliche Dateien auf einem Server zuzugreifen, indem er den Dateipfad so manipuliert, dass er das Dateisystem durchqueren kann. Dies kann möglicherweise zur Offenlegung sensibler Informationen und sogar zur vollständigen Systemkompromittierung führen.

Ich habe meine Erkenntnisse sofort dem Sicherheitsteam gemeldet, das die Sicherheitslücke als hoch einstufte. Allerdings hatte gleichzeitig auch ein anderer Sicherheitsforscher die Schwachstelle gemeldet. Daraufhin beschloss das Team, das Kopfgeld aufzuteilen, und ich erhielt 500 $.

Ressourcen

https://media.defcon.org/DEF%20CON%2027/DEF%20CON%2027%20presentations/DEFCON-27-Ben-Sadeghipour-Owning-the-clout-through-SSRF-and-PDF-generators.pdf