微慑信息网
        找回密码

Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

2019-04-12 来源：[email protected]知道创宇404实验室 分类：Application / 业界快讯 作者：微慑管理员 阅读(83) 评论(0)

作者：[email protected]知道创宇404实验室
时间：2019年4月8日

看到官方发布了预警，于是开始了漏洞应急。漏洞描述中指出Confluence Server与Confluence Data Center中的Widget Connector存在服务端模板注入漏洞，***者能利用此漏洞能够实现目录穿越与远程代码执行。
Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

确认漏洞点是Widget Connector，下载最新版的比对补丁，发现在com\atlassian\confluence\extra\widgetconnector\WidgetMacro.java里面多了一个过滤，这个应该就是这个漏洞最关键的地方。
Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

可以看到
this.sanitizeFields = Collections.unmodifiableList(Arrays.asList(VelocityRenderService.TEMPLATE_PARAM));

而TEMPLATE_PARAM的值就是_template，所以这个补丁就是过滤了外部传入的_template参数。

1
2
3
4
<span class="hljs-keyword">public</span> <span class="hljs-class"><span class="hljs-keyword">interface</span> <span class="hljs-title">VelocityRenderService</span> </span>{
   <span class="hljs-keyword">public</span> <span class="hljs-keyword">static</span> <span class="hljs-keyword">final</span> String WIDTH_PARAM = <span class="hljs-string">"width"</span>;
   <span class="hljs-keyword">public</span> <span class="hljs-keyword">static</span> <span class="hljs-keyword">final</span> String HEIGHT_PARAM = <span class="hljs-string">"height"</span>;
   <span class="hljs-keyword">public</span> <span class="hljs-keyword">static</span> <span class="hljs-keyword">final</span> String TEMPLATE_PARAM = <span class="hljs-string">"_template"</span>;

翻了一下Widget Connector里面的文件，发现TEMPLATE_PARAM就是模板文件的路径。

1
2
3
4
5
6
7
8
9
10
<span class="hljs-keyword">public</span> <span class="hljs-class"><span class="hljs-keyword">class</span> <span class="hljs-title">FriendFeedRenderer</span> <span class="hljs-keyword">implements</span> <span class="hljs-title">WidgetRenderer</span> </span>{
   <span class="hljs-keyword">private</span> <span class="hljs-keyword">static</span> <span class="hljs-keyword">final</span> String MATCH_URL = <span class="hljs-string">"friendfeed.com"</span>;
   <span class="hljs-keyword">private</span> <span class="hljs-keyword">static</span> <span class="hljs-keyword">final</span> String PATTERN = <span class="hljs-string">"friendfeed.com/(\\w+)/?"</span>;
   <span class="hljs-keyword">private</span> <span class="hljs-keyword">static</span> <span class="hljs-keyword">final</span> String VELOCITY_TEMPLATE = <span class="hljs-string">"com/atlassian/confluence/extra/widgetconnector/templates/simplejscript.vm"</span>;
   <span class="hljs-keyword">private</span> VelocityRenderService velocityRenderService;
......
   <span class="hljs-function"><span class="hljs-keyword">public</span> String <span class="hljs-title">getEmbeddedHtml</span><span class="hljs-params">(String url, Map<String, String> params)</span> </span>{
       params.put(VelocityRenderService.TEMPLATE_PARAM, VELOCITY_TEMPLATE);
       <span class="hljs-keyword">return</span> velocityRenderService.render(getEmbedUrl(url), params);
   }

加载外部的链接时，会调用相对的模板去渲染，如上，模板的路径一般是写死的，但是也有例外，补丁的作用也说明有人突破了限制，调用了意料之外的模板，从而造成了模板注入。

在了解了补丁和有了一些大概的猜测之后，开始尝试。

首先先找到这个功能，翻了一下官方的文档，找到了这个功能，可以在文档中嵌入一些视频，文档之类的。
Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

看到这个，有点激动了，因为在翻补丁的过程中，发现了几个参数，url，width，height正好对应着这里，那_template是不是也从这里传递进去的？

随便找个Youtube视频插入试试，点击预览，抓包。

Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析
在params中尝试插入_template参数，好吧，没啥反应。。

Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

开始debug模式，因为测试插入的是Youtube视频，所以调用的是com/atlassian/confluence/extra/widgetconnector/video/YoutubeRenderer.class

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
<span class="hljs-keyword">public</span> <span class="hljs-class"><span class="hljs-keyword">class</span> <span class="hljs-title">YoutubeRenderer</span> <span class="hljs-keyword">implements</span> <span class="hljs-title">WidgetRenderer</span>, <span class="hljs-title">WidgetImagePlaceholder</span> </span>{
   <span class="hljs-keyword">private</span> <span class="hljs-keyword">static</span> <span class="hljs-keyword">final</span> Pattern YOUTUBE_URL_PATTERN = Pattern.compile(<span class="hljs-string">"https?://(.+\\.)?youtube.com.*(\\?v=([^&]+)).*$"</span>);
   <span class="hljs-keyword">private</span> <span class="hljs-keyword">final</span> PlaceholderService placeholderService;
   <span class="hljs-keyword">private</span> <span class="hljs-keyword">final</span> String DEFAULT_YOUTUBE_TEMPLATE = <span class="hljs-string">"com/atlassian/confluence/extra/widgetconnector/templates/youtube.vm"</span>;
......
 
   <span class="hljs-function"><span class="hljs-keyword">public</span> String <span class="hljs-title">getEmbedUrl</span><span class="hljs-params">(String url)</span> </span>{
       Matcher youtubeUrlMatcher = YOUTUBE_URL_PATTERN.matcher(<span class="hljs-keyword">this</span>.verifyEmbeddedPlayerString(url));
       <span class="hljs-keyword">return</span> youtubeUrlMatcher.matches() ? String.format(<span class="hljs-string">"//www.youtube.com/embed/%s?wmode=opaque"</span>, youtubeUrlMatcher.group(<span class="hljs-number">3</span>)) : <span class="hljs-keyword">null</span>;
   }
 
   <span class="hljs-function"><span class="hljs-keyword">public</span> <span class="hljs-keyword">boolean</span> <span class="hljs-title">matches</span><span class="hljs-params">(String url)</span> </span>{
       <span class="hljs-keyword">return</span> YOUTUBE_URL_PATTERN.matcher(<span class="hljs-keyword">this</span>.verifyEmbeddedPlayerString(url)).matches();
   }
 
   <span class="hljs-function"><span class="hljs-keyword">private</span> String <span class="hljs-title">verifyEmbeddedPlayerString</span><span class="hljs-params">(String url)</span> </span>{
       <span class="hljs-keyword">return</span> !url.contains(<span class="hljs-string">"feature=player_embedded&"</span>) ? url : url.replace(<span class="hljs-string">"feature=player_embedded&"</span>, <span class="hljs-string">""</span>);
   }
 
   <span class="hljs-function"><span class="hljs-keyword">public</span> String <span class="hljs-title">getEmbeddedHtml</span><span class="hljs-params">(String url, Map<String, String> params)</span> </span>{
       <span class="hljs-keyword">return</span> <span class="hljs-keyword">this</span>.velocityRenderService.render(<span class="hljs-keyword">this</span>.getEmbedUrl(url), <span class="hljs-keyword">this</span>.setDefaultParam(params));
   }

在getEmbeddedHtml下断点，先会调用getEmbedUrl对用户传入的url进行正则匹配，因为我们传入的是个正常的Youtube视频，所以这里是没有问题的，然后调用setDefaultParam函数对传入的其他参数进行处理。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
<span class="hljs-function"><span class="hljs-keyword">private</span> Map<String, String> <span class="hljs-title">setDefaultParam</span>(<span class="hljs-params">Map<String, String> <span class="hljs-keyword">params</span></span>) </span>{
        String width = (String)<span class="hljs-keyword">params</span>.<span class="hljs-keyword">get</span>(<span class="hljs-string">"width"</span>);
        String height = (String)<span class="hljs-keyword">params</span>.<span class="hljs-keyword">get</span>(<span class="hljs-string">"height"</span>);
        <span class="hljs-keyword">if</span> (!<span class="hljs-keyword">params</span>.containsKey(<span class="hljs-string">"_template"</span>)) {
            <span class="hljs-keyword">params</span>.put(<span class="hljs-string">"_template"</span>, <span class="hljs-string">"com/atlassian/confluence/extra/widgetconnector/templates/youtube.vm"</span>);
        }
 
        <span class="hljs-keyword">if</span> (StringUtils.isEmpty(width)) {
            <span class="hljs-keyword">params</span>.put(<span class="hljs-string">"width"</span>, <span class="hljs-string">"400px"</span>);
        } <span class="hljs-function"><span class="hljs-keyword">else</span> <span class="hljs-title">if</span> (<span class="hljs-params">StringUtils.isNumeric(width</span>)) </span>{
            <span class="hljs-keyword">params</span>.put(<span class="hljs-string">"width"</span>, width.concat(<span class="hljs-string">"px"</span>));
        }
 
        <span class="hljs-keyword">if</span> (StringUtils.isEmpty(height)) {
            <span class="hljs-keyword">params</span>.put(<span class="hljs-string">"height"</span>, <span class="hljs-string">"300px"</span>);
        } <span class="hljs-function"><span class="hljs-keyword">else</span> <span class="hljs-title">if</span> (<span class="hljs-params">StringUtils.isNumeric(height</span>)) </span>{
            <span class="hljs-keyword">params</span>.put(<span class="hljs-string">"height"</span>, height.concat(<span class="hljs-string">"px"</span>));
        }
 
        <span class="hljs-keyword">return</span> <span class="hljs-keyword">params</span>;
    }

取出width和height来判断是否为空，为空则设置默认值。关键的_template参数来了，如果外部传入的参数没有_template，则设置默认的Youtube模板。如果传入了，就使用传入的，也就是说，aaaa是成功的传进来了。
Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

大概翻了一下Widget Connector里面的Renderer，大部分是不能设置_template的，是直接写死了，也有一些例外，如Youtube，Viddler，DailyMotion等，是可以从外部传入_template的。

能传递_template了，接下来看下是如何取模板和渲染模板的。

跟进this.velocityRenderService.render，也就是com/atlassian/confluence/extra/widgetconnector/services/DefaultVelocityRenderService.class里面的render方法。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
public <span class="hljs-built_in">String</span> render(<span class="hljs-built_in">String</span> url, <span class="hljs-built_in">Map</span><<span class="hljs-built_in">String</span>, <span class="hljs-built_in">String</span>> params) {
        <span class="hljs-built_in">String</span> width = (<span class="hljs-built_in">String</span>)params.get(<span class="hljs-string">"width"</span>);
        <span class="hljs-built_in">String</span> height = (<span class="hljs-built_in">String</span>)params.get(<span class="hljs-string">"height"</span>);
        <span class="hljs-built_in">String</span> template = (<span class="hljs-built_in">String</span>)params.get(<span class="hljs-string">"_template"</span>);
        <span class="hljs-keyword">if</span> (StringUtils.isEmpty(template)) {
            template = <span class="hljs-string">"com/atlassian/confluence/extra/widgetconnector/templates/embed.vm"</span>;
        }
 
        <span class="hljs-keyword">if</span> (StringUtils.isEmpty(url)) {
            <span class="hljs-keyword">return</span> <span class="hljs-literal">null</span>;
        } <span class="hljs-keyword">else</span> {
            <span class="hljs-built_in">Map</span><<span class="hljs-built_in">String</span>, <span class="hljs-built_in">Object</span>> contextMap = <span class="hljs-keyword">this</span>.getDefaultVelocityContext();
            Iterator var7 = params.entrySet().iterator();
 
            <span class="hljs-keyword">while</span>(var7.hasNext()) {
                Entry<<span class="hljs-built_in">String</span>, <span class="hljs-built_in">String</span>> entry = (Entry)var7.next();
                <span class="hljs-keyword">if</span> (((<span class="hljs-built_in">String</span>)entry.getKey()).contentEquals(<span class="hljs-string">"tweetHtml"</span>)) {
                    contextMap.put(entry.getKey(), entry.getValue());
                } <span class="hljs-keyword">else</span> {
                    contextMap.put(entry.getKey(), GeneralUtil.htmlEncode((<span class="hljs-built_in">String</span>)entry.getValue()));
                }
            }
 
            contextMap.put(<span class="hljs-string">"urlHtml"</span>, GeneralUtil.htmlEncode(url));
            <span class="hljs-keyword">if</span> (StringUtils.isNotEmpty(width)) {
                contextMap.put(<span class="hljs-string">"width"</span>, GeneralUtil.htmlEncode(width));
            } <span class="hljs-keyword">else</span> {
                contextMap.put(<span class="hljs-string">"width"</span>, <span class="hljs-string">"400"</span>);
            }
 
            <span class="hljs-keyword">if</span> (StringUtils.isNotEmpty(height)) {
                contextMap.put(<span class="hljs-string">"height"</span>, GeneralUtil.htmlEncode(height));
            } <span class="hljs-keyword">else</span> {
                contextMap.put(<span class="hljs-string">"height"</span>, <span class="hljs-string">"300"</span>);
            }
 
            <span class="hljs-keyword">return</span> <span class="hljs-keyword">this</span>.getRenderedTemplate(template, contextMap);
        }
    }

_template取出来赋值给template，其他传递进来的参数取出来经过判断之后放入到contextMap，调用getRenderedTemplate函数，也就是调用VelocityUtils.getRenderedTemplate。

1
2
3
protected <span class="hljs-built_in">String</span> getRenderedTemplate(<span class="hljs-built_in">String</span> template, <span class="hljs-built_in">Map</span><<span class="hljs-built_in">String</span>, <span class="hljs-built_in">Object</span>> contextMap){
        <span class="hljs-keyword">return</span> VelocityUtils.getRenderedTemplate(template, contextMap);
    }

一路调用，调用链如下图，最后来到/com/atlassian/confluence/util/velocity/ConfigurableResourceManager.class的loadResource函数，来获取模板。

Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

这里调用了4个ResourceLoader去取模板。

1
2
3
4
<span class="hljs-selector-tag">com</span><span class="hljs-selector-class">.atlassian</span><span class="hljs-selector-class">.confluence</span><span class="hljs-selector-class">.setup</span><span class="hljs-selector-class">.velocity</span><span class="hljs-selector-class">.HibernateResourceLoader</span>
<span class="hljs-selector-tag">org</span><span class="hljs-selector-class">.apache</span><span class="hljs-selector-class">.velocity</span><span class="hljs-selector-class">.runtime</span><span class="hljs-selector-class">.resource</span><span class="hljs-selector-class">.loader</span><span class="hljs-selector-class">.FileResourceLoader</span>
<span class="hljs-selector-tag">org</span><span class="hljs-selector-class">.apache</span><span class="hljs-selector-class">.velocity</span><span class="hljs-selector-class">.runtime</span><span class="hljs-selector-class">.resource</span><span class="hljs-selector-class">.loader</span><span class="hljs-selector-class">.ClasspathResourceLoader</span>
<span class="hljs-selector-tag">com</span><span class="hljs-selector-class">.atlassian</span><span class="hljs-selector-class">.confluence</span><span class="hljs-selector-class">.setup</span><span class="hljs-selector-class">.velocity</span><span class="hljs-selector-class">.DynamicPluginResourceLoader</span>

这里主要看下Velocity自带的FileResourceLoader和ClasspathResourceLoader

FileResourceLoader会对用户传入的模板路径使用normalizePath函数进行校验
Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

可以看到，过滤了/../，这样就导致没有办法跳目录了。

Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

路径过滤后调用findTemplate查找模板，可看到，会拼接一个固定的path，这是Confluence的安装路径。
Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

也就是说现在可以利用FileResourceLoader来读取Confluence目录下面的文件了。

尝试读取/WEB-INF/web.xml文件，可以看到，是成功的加载到了该文件。
Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

但是这个无法跳出Confluence的目录，因为不能用/../。

再来看下ClasspathResourceLoader

1
2
3
4
5
6
7
8
9
<span class="hljs-function"><span class="hljs-keyword">public</span> InputStream <span class="hljs-title">getResourceStream</span><span class="hljs-params">(String name)</span> <span class="hljs-keyword">throws</span> ResourceNotFoundException </span>{
        InputStream result = <span class="hljs-keyword">null</span>;
        <span class="hljs-keyword">if</span> (StringUtils.isEmpty(name)) {
            <span class="hljs-keyword">throw</span> <span class="hljs-keyword">new</span> ResourceNotFoundException(<span class="hljs-string">"No template name provided"</span>);
        } <span class="hljs-keyword">else</span> {
            <span class="hljs-keyword">try</span> {
                result = ClassUtils.getResourceAsStream(<span class="hljs-keyword">this</span>.getClass(), name);
......
            }

跟进ClassUtils.getResourceAsStream

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
<span class="hljs-keyword">public</span> <span class="hljs-keyword">static</span> InputStream getResourceAsStream(<span class="hljs-class"><span class="hljs-keyword">Class</span> <span class="hljs-title">claz</span>, <span class="hljs-title">String</span> <span class="hljs-title">name</span>) </span>{
        <span class="hljs-keyword">while</span>(name.startsWith(<span class="hljs-string">"/"</span>)) {
            name = name.substring(<span class="hljs-number">1</span>);
        }
 
        ClassLoader classLoader = Thread.currentThread().getContextClassLoader();
        InputStream result;
        <span class="hljs-keyword">if</span> (classLoader == <span class="hljs-keyword">null</span>) {
            classLoader = claz.getClassLoader();
            result = classLoader.getResourceAsStream(name);
        } <span class="hljs-keyword">else</span> {
            result = classLoader.getResourceAsStream(name);
            <span class="hljs-keyword">if</span> (result == <span class="hljs-keyword">null</span>) {
                classLoader = claz.getClassLoader();
                <span class="hljs-keyword">if</span> (classLoader != <span class="hljs-keyword">null</span>) {
                    result = classLoader.getResourceAsStream(name);
                }
            }
        }
 
        <span class="hljs-keyword">return</span> result;
    }

会跳到/org/apache/catalina/loader/WebappClassLoaderBase.class

Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

跟进，发现会拼接/WEB-INF/classes，而且其中也是调用了normalize对传入的路径进行过滤。。

Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

这里还是可以用../跳一级目录。

尝试读取一下../web.xml，可以看到，也是可以读取成功的，但是仍然无法跳出目录。

Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

我这里测试用的版本是6.14.1，而后尝试了file://,http://，https:// 都没有成功。后来我尝试把Cookie删掉，发现还是可以读取文件，确认了这个漏洞不需要权限，但是跳不出目录。应急就在这里卡住了。

而后的几天，有大佬说用file:// 协议可以跳出目录限制，我惊了，我确定当时是已经试过了，没有成功的。看了大佬的截图，发现用的是6.9.0的版本，我下载了，尝试了一下，发现真的可以。

问题还是在ClasspathResourceLoader上面，步骤和之前的是一样的，断到/org/apache/catalina/loader/WebappClassLoaderBase.class的getResourceAsStream方法

前面拼接/WEB-INF/classes获取失败后，继续往下进行。
Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

跟进findResource，函数前面仍然获取失败

Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

关键的地方就在这里，会调用super.findResource(name)，这里返回了URL，也就是能获取到对象。

Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

不仅如此，这里还可以使用其他协议(https，ftp等)获取远程的对象，意味着可以加载远程的对象。
Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

获取到URL对象之后，继续回到之前的getResourceAsStream，可以看到，当返回的url不为null时，

会调用url.openStream()获取数据。
Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

最终获取到数据给Velocity渲染。

尝试一下
Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

至于6.14.1为啥不行，赶着应急，后续会跟，如果有新的发现，会同步上来，目前只看到ClassLoader不一样。

6.14.1

Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

6.9.0

Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

这两个loader的关系如下
Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

现在可以加载本地和远程模板了，可以尝试进行RCE。

关于Velocity的RCE，基本上payload都来源于15年blackhat的服务端模板注入的议题，但是在Confluence上用不了，因为在调用方法的时候会经过velocity-htmlsafe-1.5.1.jar，里面多了一些过滤和限制。但是仍然可以利用反射来执行命令。

用python -m pyftpdlib -p 2121开启一个简单的ftp服务器，将payload保存成rce.vm，保存在当前目录。

将_template设置成ftp://localhost:2121/rce.vm， 发送，成功执行命令。

Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析
对于命令回显，同样可以使用反射构造出payload，执行ipconfig的结果。
Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

漏洞影响

根据 ZoomEye 网络空间搜索引擎对关键字 “X-Confluence” 进行搜索，共得到 61,856 条结果，主要分布美国、德国、中国等国家。

Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

全球分布(非漏洞影响范围)
Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

中国分布(非漏洞影响范围)
Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

漏洞检测

2019年4月4日，404实验室公布了该漏洞的检测PoC，可以利用这个PoC检测Confluence是否受该漏洞影响。

Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析

参 考 链 接

[1] 漏洞检测PoC

[2] Remote code execution via Widget Connector macro – CVE-2019-3396

[3] 漏洞预警 | Confluence Server 远程代码执行漏洞

拓展阅读(点评/知识)：

Confluence安装

https://www.cnblogs.com/vcdx/p/9490606.html

 

安装包下载

链接: https://pan.baidu.com/s/1zfkTubVFXcPOZP2dHMIQrg 密码: vhn3

 

本文标题：Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析
本文链接：
(转载请附上本文链接)		http://vulsee.com/archives/vulsee_2019/0412_7433.html
标签：
转载请附本站链接，未经允许不得转载,,谢谢：微慑信息网-VulSee.com » Confluence 未授权 RCE (CVE-2019-3396) 漏洞分析
分享到： 更多 (0)

相关推荐

评论 抢沙发

取消

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址

微慑信息网 专注工匠精神

访问我们联系我们