Podatności Apache Roller

Podatność w Apache Roller 6.1.5 polega na niewłaściwej neutralizacji danych wejściowych, co pozwala anonimowemu zdalnemu atakującemu przechowywać spreparowany URL autora komentarza, który może wykonać skrypt w sesji moderatora bloga lub administratora globalnego podczas przeglądania strony zarządzania komentarzami. Dotyczy to witryn, które pozwalają na komentarze na co najmniej jednym blogu i których moderator przegląda nadesłany komentarz; nie jest wymagane żadne niestandardowe ustawienie serwera.

W Apache Roller 6.1.5 brakuje uwierzytelniania dla krytycznej funkcji, co pozwala nieuwierzytelnionemu zdalnemu atakującemu trwale zmienić globalną wartość konfiguracji witryny (wybór bloga na stronie głównej). Akcja setup pozostaje anonimowo dostępna po instalacji i zapisuje konfigurację bez sprawdzenia autoryzacji.

Podatność Reflected Cross-site Scripting (XSS) w Apache Roller 6.1.5 pozwala zdalnemu atakującemu na wykonanie skryptu w przeglądarce odwiedzającego bloga korzystającego z dołączonego motywu frontpage, poprzez podanie spreparowanego parametru blog-directory, który strona katalogu odzwierciedla bez odpowiedniego escapowania. Dotyczy to tylko blogów używających dołączonego motywu frontpage, a ofiara musi kliknąć spreparowany link.

Podatność Stored Cross-site Scripting (XSS) w Apache Roller 6.1.5 pozwala użytkownikowi z prawami autorskimi na blogu na zapisanie spreparowanej treści, która jest później zapisywana w literałach łańcuchowych JavaScript i miejscach znaczników interfejsu autorskiego bez odpowiedniego kodowania, powodując wykonanie zapisanego skryptu w przeglądarce innego autora lub administratora. Nie wymaga żadnej opcjonalnej funkcji ani niestandardowej konfiguracji; dotyczy to blogów z wieloma autorami lub administratorami, którzy nie ufają sobie nawzajem.

W Apache Roller 6.1.5 występuje podatność Cross-Site Request Forgery (CSRF), która pozwala zdalnemu atakującemu nakłonić zalogowanego użytkownika do wykonania akcji zmieniających stan w jego imieniu. Filtry walidacji CSRF akceptują żądanie, które nie przesyła wymaganego tokenu salt, walidując zamiast tego wartość wygenerowaną przez sam serwer.

Podatność Server-Side Request Forgery (SSRF) w Apache Roller 6.1.5 pozwala uwierzytelnionemu użytkownikowi z prawem edycji wpisów na blogu na wywoływanie wychodzących żądań HTTP do celów wybranych przez atakującego poprzez mechanizmy Trackback i enclosure. Kontrolka Trackback jest ukryta w standardowym interfejsie, ale jej akcja pozostaje bezpośrednio dostępna, a domyślna pusta lista dozwolonych Trackbacków zezwala na wszystkie cele. Żądania mogą docierać do adresów loopback i sieci prywatnych.

Szablon strony weblog w Apache Roller w wersjach 5.1 do 5.1.1 pozwala zdalnym uwierzytelnionym użytkownikom z uprawnieniami administratora na wykonanie dowolnego kodu Java za pomocą spreparowanego języka Velocity Text Language (VTL).

Apache Roller 6.1.5 zawiera podatność deserializacji niezaufanych danych, ponieważ punkt końcowy XML-RPC akceptuje typy rozszerzeń dostawcy, które są deserializowane podczas przetwarzania żądania, przed uwierzytelnieniem. Servlet jest mapowany bezwarunkowo, więc parsowanie następuje nawet gdy globalna funkcja XML-RPC jest wyłączona; nie jest wymagana żadna niestandardowa konfiguracja. Może to prowadzić do zdalnego wykonania kodu.

Apache Roller 6.1.5 zawiera podatność nieprawidłowej autoryzacji w punkcie końcowym autoryzacji OAuth 1.0a. Nieuwierzytelniony zdalny atakujący, który pozna ważny token żądania dla skonfigurowanego konsumenta ogólnodostępnego, może powiązać ten token z dowolnym kontem użytkownika, w tym administratorem, wysyłając niepodpisane żądanie autoryzacji. Punkt końcowy ustala tożsamość autoryzującą na podstawie wartości dostarczonej w żądaniu, a nie uwierzytelnionej sesji.

Apache Roller 6.1.5 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionemu użytkownikowi na odczyt, modyfikację lub usunięcie treści bloga należącego do innych blogów poprzez starsze interfejsy API XML-RPC Blogger i MetaWeblog. Handlery uwierzytelniają wywołującego, ale nie weryfikują jego uprawnień do bloga lub wpisu, którego dotyczy operacja. Podatność dotyczy tylko instalacji z włączonym niestandardowym globalnym ustawieniem XML-RPC; flaga API dla poszczególnych blogów jest domyślnie włączona dla blogów utworzonych przez interfejs użytkownika.

Wsparcie protokołu XML-RPC w Apache Roller przed wersją 5.0.3 umożliwia atakującym przeprowadzanie ataków XML External Entity (XXE) za pomocą nieokreślonych wektorów.

Podatność Reflected Cross-site Scripting (XSS) w Apache Roller 6.1.5 występuje w opcjonalnym uwierzytelniaczu komentarzy LDAP, który zapisuje wartości parametrów żądania do formularza HTML bez odpowiedniego escapowania. Atak wymaga, aby ofiara kliknęła spreparowany link, a witryna musi być skonfigurowana z LdapCommentAuthenticator.

Podatność Stored Cross-site Scripting (XSS) w Apache Roller 6.1.5 pozwala anonimowemu atakującemu na zapisanie komentarza zawierającego link javascript: URI, który przetrwa formatowanie komentarzy HTML i może wykonać skrypt w przeglądarce odwiedzającego po kliknięciu. Dotyczy to tylko witryn z włączoną obsługą HTML w komentarzach (users.comments.htmlenabled=true) oraz formatowaniem HTMLSubset.

Podatność Stored Cross-site Scripting (XSS) w Apache Roller 6.1.5 pozwala nieuwierzytelnionemu atakującemu na zapisanie spreparowanego adresu URL autora komentarza przez endpoint Trackback, gdy opublikowany wpis akceptuje komentarze i Trackbacki. Domyślne ustawienia Trackback, weryfikacji i moderacji pozwalają na zatwierdzenie i wyświetlenie wartości jako aktywnego linku; kliknięcie linku przez odwiedzającego wykonuje skrypt w kontekście bloga.

Podatność Stored Cross-site Scripting (XSS) w Apache Roller 6.1.5 pozwala użytkownikowi z prawami przesyłania multimediów na przechowywanie aktywnej treści w kontekście Rollera, ponieważ funkcja przesyłania multimediów ufa typowi treści dostarczonemu przez użytkownika i serwuje zapisany plik z tym typem. Ofiara, która otworzy przesłany plik, wykonuje zapisany skrypt. Przesyłanie multimediów jest domyślnie wyłączone; dotyczy to tylko instalacji, które je włączą.

W Apache Roller 6.1.5 występuje nieprawidłowe ograniczenie odwołań do zewnętrznych encji XML (XXE). Administrator bloga może odczytać pliki dostępne dla procesu Roller oraz dotrzeć do adresów sieci wewnętrznej, importując spreparowany dokument OPML, ponieważ parser importu zakładek nie wyłącza rozwiązywania zewnętrznych encji.

Podatność ujawnienia wrażliwych informacji w Apache Roller 6.1.5 pozwala administratorowi bloga na odczyt plików na ścieżce klas aplikacji, w tym plików konfiguracyjnych Rollera zawierających sekrety, poprzez utworzenie szablonu Velocity używającego dyrektywy include do załadowania zasobu spoza przestrzeni nazw motywu. Roller traktuje administratorów bloga jako niezaufanych i włącza piaskownicę Velocity, ale dyrektywy include i parse nie są przez nią ograniczane.

W Apache Roller 6.1.5 występuje obejście uwierzytelniania przez powtórzenie przechwyconych danych (capture-replay). Atakujący, który przechwyci prawidłowy nagłówek uwierzytelniania WSSE digest, może go powtórzyć i uzyskać uprawnienia AtomPub ofiary, ponieważ uwierzytelnianie nie wymusza unikalności nonce ani świeżości znacznika czasu.

W Apache Roller 6.1.5 występuje nieprawidłowe ograniczenie odwołań do zewnętrznych encji XML (XXE). Użytkownik z prawem edycji wpisów na blogu może spowodować, że serwer przetworzy odpowiedź trackback pod wpływem atakującego za pomocą parsera XML, który nie wyłącza rozwiązywania zewnętrznych encji, co prowadzi do ujawnienia plików dostępnych dla procesu Roller.

Podatność Authorization Bypass Through User-Controlled Key w Apache Roller 6.1.5 pozwala uwierzytelnionemu użytkownikowi z prawami autorskimi na jednym blogu na odczyt, modyfikację lub usunięcie zasobów należących do innego blogu poprzez wyszukiwanie po identyfikatorach bez ograniczenia zakresu. Dotyczy to instalacji wieloużytkownikowych, w których użytkownicy powinni być odizolowani między blogami. Administrator własnego blogu może także nadpisać szablon Velocity innego blogu, którego treść jest ewaluowana podczas renderowania ofiary.

Wszystkie wersje Apache Roller mają niewystarczającą walidację i sanitację danych wejściowych w funkcjach nazwy kategorii, informacji o stronie oraz przesyłania plików, co pozwala uwierzytelnionemu użytkownikowi na przeprowadzenie ataku XSS.