Trong quá trình săn lỗi trong một chương trình tiền thưởng lỗi riêng tư, tôi đã tìm thấy một tính năng trong ứng dụng cho phép tạo tài liệu PDF. Vì đầu vào của người dùng được phản ánh trong các tài liệu PDF đã tạo, nên tôi đã quyết định thử đưa tải trọng HTML và XSS vào.

Tôi đã sử dụng một công cụ nổi tiếng có tên là XSSHunter, công cụ này cho phép chúng tôi tìm ra các lỗ hổng mã hóa liên trang ẩn. Thật ngạc nhiên, tải trọng của tôi đã được thực thi ngay lập tức và tôi có thể truy xuất ảnh chụp màn hình cũng như các chi tiết sau trên XSSHunter.

Điều tra sâu hơn cho thấy rằng tải trọng đã được thực thi trên đường dẫn tệp

“tệp:///gotenberg/e86fbc55ef893d878821c1bc76c3b1e3/index.html”.

Gotenberg là một API mã nguồn mở để chuyển đổi các tài liệu HTML, Markdown và Office sang PDF. Nó sử dụng một bộ công cụ kết xuất có thể định cấu hình để chuyển đổi tài liệu đầu vào thành tệp PDF. Trình phân tích cú pháp Gotenberg là thành phần của Gotenberg lấy tài liệu đầu vào và chuyển đổi nó thành định dạng mà các công cụ có thể hiển thị.

Khi thử nghiệm thêm, tôi phát hiện ra rằng trình phân tích cú pháp Gotenberg dễ bị tấn công giả mạo yêu cầu phía máy chủ. Tôi đã có thể thực thi thành công một tải trọng bao gồm iframe với src được đặt thành “file:///etc/passwd” . Điều này cho phép tôi xem nội dung của tệp “/etc/passwd” .

Loại lỗ hổng này cho phép kẻ tấn công truy cập các tệp nhạy cảm trên máy chủ bằng cách thao túng đường dẫn tệp theo cách cho phép chúng đi qua hệ thống tệp. Điều này có khả năng dẫn đến việc lộ thông tin nhạy cảm và thậm chí xâm phạm toàn bộ hệ thống.

Tôi ngay lập tức báo cáo phát hiện của mình cho nhóm bảo mật, họ đã phân loại lỗ hổng bảo mật ở mức cao. Tuy nhiên, một nhà nghiên cứu bảo mật khác cũng đã báo cáo về lỗ hổng này cùng lúc. Do đó, nhóm đã quyết định chia tiền thưởng và tôi nhận được 500 đô la.

Tài nguyên

https://media.defcon.org/DEF%20CON%2027/DEF%20CON%2027%20presentations/DEFCON-27-Ben-Sadeghipour-Owning-the-clout-through-SSRF-and-PDF-generators.pdf