Blinde SSRF beim Senden von Bildern in privaten Unterhaltungen

Unterstützung
1

Wir haben einen Hackerone-Bericht über das unten stehende Problem erhalten.

Ich frage mich:

  • Ist das ein Problem?
  • Gibt es Vorschläge / etwas, das ich dagegen tun kann?

Zusammenfassung:

Hallo, ich habe eine blinde SSRF auf dem Endpunkt hxxps://xyz.com/posts gefunden.

Schritte zur Reproduktion:

  1. Melden Sie sich auf xyz.com bei Ihrem Konto an.
  2. Gehen Sie zu privaten Nachrichten (es gibt eine Begrüßungsnachricht von ihrem Discobot).
  3. Laden Sie beim Senden einer Nachricht ein Bild hoch und fangen Sie die Anfrage in Burp ab.
  4. Ändern Sie in der Payload die URL zum Hochladen des Bildes zu Ihrer Canary-URL.
  5. Die Payload sieht wie folgt aus:

raw=![svg_image|690x388]>(hxxp://canarytokens.com/tags/images/terms/ctw75qckq1htf6n3rt9asrpn3/submit.aspx) &unlist_topic=false&category=&topic_id=1659497&is_warning=false&whisper=false&archetype=regular&composer_open_duration_msecs=12597&featured_link=&shared_draft=false&draft_key=topic_1659497&reply_to_post_number=83&image_sizes[hxxps://xyz.cloudfront.net/uploads/default/original/4X/c/a/9/ca90daba5408ce8b8693f3a5d58e537eb750e906.svg][width]=5120&image_sizes[hxxps://xyz.cloudfront.net/uploads/default/original/4X/c/a/9/ca90daba5408ce8b8693f3a5d58e537eb750e906.svg][height]=2880&nested_post=true

  1. Wenn Sie die Anfrage senden, werden zwei Canary-Warnungen ausgelöst, oder überprüfen Sie die Serverprotokolle, es wird eine Anfrage vom Ruby-Benutzeragenten und eine von ihrer Amazon Compute Instance geben.

Auswirkungen

Die Schwachstelle ermöglicht es einem Angreifer, beliebige HTTP/HTTPS-Anfragen innerhalb eines xyz.com-Instanznetzwerks zu stellen.

Aus diesem Thread geht hervor, dass dies auf das Onebox-Verhalten zurückzuführen ist: Server-side request forgery vulnerability.
Ich habe auch diesen Hackerone-Bericht von vor Jahren gesehen: SSRF in upload IMG through URL.

Danke!

2

Discourse ruft absichtlich Bilder und URLs ab, die in Beiträgen enthalten sind. Wir haben Schutzmaßnahmen implementiert, um sicherzustellen, dass diese Anfragen keine Hosts im privaten Netzwerk des Servers anvisieren können. Der Empfang einer GET-Anfrage an ein „Canary Token“ bedeutet nicht, dass eine Schwachstelle vorliegt.

Bitte leiten Sie den Forscher gerne an unser offizielles HackerOne-Programm weiter. Unsere Richtlinien decken diese Art von Bericht ab:

2 „Gefällt mir“
3

This topic was automatically closed 30 days after the last reply. New replies are no longer allowed.