プライベートのバグ報奨金プログラムでバグを探しているときに、PDF ドキュメントの生成を可能にするアプリケーション内の機能を発見しました。ユーザー入力は生成された PDF ドキュメントに反映されるため、HTML および XSS ペイロードを挿入してみることにしました。

XSSHunter というよく知られたツールを使用しました。このツールを使用すると、ブラインド クロスサイト スクリプティングの脆弱性を見つけることができます。 驚いたことに、ペイロードはすぐに実行され、スクリーンショットと次の詳細を XSSHunter で取得できました。

さらなる調査により、ペイロードがファイル パス上で実行されたことが判明しました。

「file:///gotenberg/e86fbc55ef893d878821c1bc76c3b1e3/index.html」。

Gotenberg は、HTML、Markdown、Office ドキュメントを PDF に変換するためのオープンソース API です。設定可能なレンダリング エンジンのセットを使用して、入力ドキュメントを PDF ファイルに変換します。Gotenberg パーサーは、入力ドキュメントを受け取り、それをエンジンでレンダリングできる形式に変換する Gotenberg のコンポーネントです。

さらにテストを行ったところ、Gotenberg パーサーはサーバー側のリクエスト フォージェリ攻撃に対して脆弱であることがわかりました。srcが「file:///etc/passwd」に設定された iframe を含むペイロードを正常に実行できました。これにより、 「/etc/passwd」ファイルの内容を表示できるようになりました。

このタイプの脆弱性により、攻撃者はファイル システムを通過できる方法でファイル パスを操作し、サーバー上の機密ファイルにアクセスすることが可能になります。これにより、機密情報が漏洩したり、システムが完全に侵害されたりする可能性があります。

私はすぐに調査結果をセキュリティ チームに報告し、セキュリティ チームは脆弱性を「高」と分類しました。ただし、別のセキュリティ研究者も同時にこの脆弱性を報告していました。その結果、チームは賞金を分割することを決定し、私は 500 ドルを受け取りました。

資力

https://media.defcon.org/DEF%20CON%2027/DEF%20CON%2027%20presentations/DEFCON-27-Ben-Sadeghipour-Owning-the-clout-through-SSRF-and-PDF-generators.pdf