SSRF cieco nell'invio di immagini in conversazione privata

Supporto
1

Abbiamo ricevuto un report di Hackerone sul problema di seguito.

Ciò che mi chiedo è:

  • È un problema?
  • Ci sono suggerimenti / qualcosa che posso fare al riguardo?

Riepilogo:

Ciao, ho trovato una SSRF cieca sull’endpoint hxxps://xyz.com/posts

Passaggi per riprodurre:

  1. Accedi al tuo account su xyz.com
  2. Vai ai messaggi privati (ci sarà un messaggio di saluto dal loro discobot)
  3. Durante l’invio di un messaggio, carica un’immagine e intercetta la richiesta in burp
  4. Nel payload, cambia l’URL di caricamento dell’immagine con il tuo URL canary
  5. Il payload sarà simile a questo

raw=![svg_image|690x388](hxxp://canarytokens.com/tags/images/terms/ctw75qckq1htf6n3rt9asrpn3/submit.aspx) &unlist_topic=false&category=&topic_id=1659497&is_warning=false&whisper=false&archetype=regular&composer_open_duration_msecs=12597&featured_link=&shared_draft=false&draft_key=topic_1659497&reply_to_post_number=83&image_sizes[hxxps://xyz.cloudfront.net/uploads/default/original/4X/c/a/9/ca90daba5408ce8b8693f3a5d58e537eb750e906.svg][width]=5120&image_sizes[hxxps://xyz.cloudfront.net/uploads/default/original/4X/c/a/9/ca90daba5408ce8b8693f3a5d58e537eb750e906.svg][height]=2880&nested_post=true
6. Quando invii la richiesta, verranno attivati due avvisi canary o controlla i log del server, ci sarà una richiesta effettuata dall’user-agent Ruby e una dalla loro istanza Amazon Compute

Impatto

La vulnerabilità consente a un attaccante di effettuare richieste HTTP/HTTPS arbitrarie all’interno della rete di un’istanza xyz.com.

Da questo thread, sembra che ciò sia dovuto al comportamento onebox Server-side request forgery vulnerability.
Ho anche visto questo report di hackerone di anni fa SSRF nell’upload di IMG tramite URL.

Grazie!

2

Discourse recupera intenzionalmente immagini e URL inclusi nei post. Abbiamo delle misure di sicurezza per garantire che tali richieste non possano puntare a host all’interno della rete privata del server. Ricevere una richiesta GET a un ‘canary token’ non significa che ci sia una vulnerabilità.

Sentiti libero di indirizzare il ricercatore al nostro programma ufficiale HackerOne. La nostra policy copre questo tipo di segnalazione:

2 Mi Piace
3

This topic was automatically closed 30 days after the last reply. New replies are no longer allowed.