Halo 文件上传漏洞 (CVE-2022-32994)

Slmpleexe

已于 2023-09-22 16:06:13 修改

阅读量1.4k

点赞数 1

文章标签：漏洞复现 CVE

于 2023-07-21 10:35:16 首次发布

本文链接：https://blog.csdn.net/weixin_68999845/article/details/131846623

版权

文章详细介绍了HaloCMS1.5.3版本中的一个高危文件上传漏洞，攻击者可利用此漏洞上传jsp、html文件，通过前端解析执行恶意脚本。漏洞源于/api/admin/attachments/upload接口，未对上传文件类型进行有效验证。修复建议包括更新到最新版本或添加过滤规则。

摘要由CSDN通过智能技术生成

Halo 文件上传漏洞 (CVE-2022-32994)

*一、漏洞概述 **

1.1 漏洞简介

·漏洞名称：Halo 文件上传漏洞

·漏洞编号：CVE-2022-32994)

·漏洞类型：文件上传漏洞

·漏洞威胁等级：高危

·影响范围：Halo CMS 1.5.3以下

·利用条件：使用jar包时jdk >=v 11

1.2 组件描述

Halo是个人开发者的一套java的个人博客系统。

1.3 漏洞描述

Halo CMS 1.5.3 版本存在安全漏洞，该漏洞源于 /api/admin/attachments/upload 页面存在文件上传问题。

二、漏洞复现

2.1 应用协议

http

2.2 环境搭建

1.下载jar包，地址如下https://github.com/halo-dev/halo/releases/download/v1.5.3/halo-1.5.3.jar

2.jdk版本>=v 11

3.cmd java -jar启动

4.根据提示建立数据库信息等

5.后台页面：

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Di1KMLz9-1689906769252)(image-20230714142817585.png)]

*2.3 漏洞复现 **

1.进入网站后台后，点击外观—>主题设置—>样式设置 /附件（存在多个上传点，使用接口相同）

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-6cs13i3B-1689906769253)(image-20230714143030069.png)]

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-FSSABKfW-1689906769253)(image-20230717102741594.png)]

2.由于上传文件被限制，攻击者可以上传 jsp、html 等格式的文件，上传jsp文件

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Jg7rXVZd-1689906769254)(image-20230714143240919.png)]

3.文件内容为1，访问文件，攻击成功（前端解析JavaScript语句，未进行后端处理验证）

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-N1cVr1Gh-1689906769255)(image-20230714143427675.png)]

三、漏洞分析

3.1 技术背景

Java Spring框架

3.2 代码分析

以下代码使用了Spring框架的MultipartFile来处理文件上传，仅仅使用了断言确保文件不为空。fileHandlers.upload方法被调用，但没有对上传的文件类型进行验证。在这里，file是MultipartFile类型的对象，可以通过调用其方法getContentType()来获取文件的 MIME 类型。所以存在任意文件上传漏洞。不过仅限了限制，只能通过 jsp、html 等格式的文件进行上传。

public Attachment upload(MultipartFile file) {
        Assert.notNull(file, "Multipart file must not be null");   
AttachmentType attachmentType = getAttachmentType();

    log.debug("Starting uploading... type: [{}], file: [{}]", attachmentType,
        file.getOriginalFilename());

    // Upload file
    UploadResult uploadResult = fileHandlers.upload(file, attachmentType);

    log.debug("Attachment type: [{}]", attachmentType);
    log.debug("Upload result: [{}]", uploadResult);

    // Build attachment
    Attachment attachment = new Attachment();
    attachment.setName(uploadResult.getFilename());
    // Convert separator
    attachment.setPath(HaloUtils.changeFileSeparatorToUrlSeparator(uploadResult.getFilePath()));
    attachment.setFileKey(uploadResult.getKey());
    attachment.setThumbPath(
        HaloUtils.changeFileSeparatorToUrlSeparator(uploadResult.getThumbPath()));
    attachment.setMediaType(uploadResult.getMediaType().toString());
    attachment.setSuffix(uploadResult.getSuffix());
    attachment.setWidth(uploadResult.getWidth());
    attachment.setHeight(uploadResult.getHeight());
    attachment.setSize(uploadResult.getSize());
    attachment.setType(attachmentType);

    log.debug("Creating attachment: [{}]", attachment);

    // Create and return
    return create(attachment);
}