SSRF ciego al enviar imágenes en conversación privada

Soporte
1

Recibimos un informe de Hackerone sobre el problema a continuación.

Lo que me pregunto es:

  • ¿Es esto un problema?
  • ¿Hay alguna sugerencia / algo que pueda hacer al respecto?

Resumen:

Hola, he encontrado un SSRF ciego en el endpoint hxxps://xyz.com/posts

Pasos para reproducir:

  1. Inicia sesión en tu cuenta en xyz.com
  2. Ve a mensajes privados (habrá un mensaje de bienvenida de su discobot)
  3. Al enviar un mensaje, carga una imagen e intercepta la solicitud en burp
  4. En la carga útil, cambia la URL de carga de imagen a tu URL de canario
  5. La carga útil se verá así

raw=![svg_image|690x388](hxxp://canarytokens.com/tags/images/terms/ctw75qckq1htf6n3rt9asrpn3/submit.aspx) &unlist_topic=false&category=&topic_id=1659497&is_warning=false&whisper=false&archetype=regular&composer_open_duration_msecs=12597&featured_link=&shared_draft=false&draft_key=topic_1659497&reply_to_post_number=83&image_sizes[hxxps://xyz.cloudfront.net/uploads/default/original/4X/c/a/9/ca90daba5408ce8b8693f3a5d58e537eb750e906.svg][width]=5120&image_sizes[hxxps://xyz.cloudfront.net/uploads/default/original/4X/c/a/9/ca90daba5408ce8b8693f3a5d58e537eb750e906.svg][height]=2880&nested_post=true
6. Cuando envíes la solicitud, se activarán dos alertas de canario o revisa los registros del servidor, habrá una solicitud realizada por el agente de usuario de Ruby y otra de su instancia de Amazon Compute

Impacto

La vulnerabilidad permite a un atacante realizar solicitudes HTTP/HTTPS arbitrarias dentro de la red de una instancia de xyz.com.

De este hilo, parece que esto se debe al comportamiento de “onebox” Server-side request forgery vulnerability.
También vi este informe de Hackerone de hace años SSRF en carga de IMG a través de URL.

¡Gracias!

2

Discourse recupera intencionalmente imágenes y URL que se incluyen en las publicaciones. Tenemos salvaguardas implementadas para garantizar que esas solicitudes no puedan dirigirse a hosts dentro de la red privada del servidor. Recibir una solicitud GET a un ‘canary token’ no significa que exista una vulnerabilidad.

No dude en dirigir al investigador a nuestro programa oficial de HackerOne. Nuestra política cubre este tipo de informe:

2 Me gusta
3

This topic was automatically closed 30 days after the last reply. New replies are no longer allowed.