FOSSBilling SSTI Vulnerability Leading to Unauthenticated RCE via DI Container Abuse

漏洞概述 在FOSSBilling的模板渲染系统中存在一个服务器端模板注入（SSTI）漏洞。管理员可以通过访问Twig模板（如电子邮件模板、批量邮件活动、自定义支付适配器和 API端点）注入任意Twig表达式，导致信息泄露和远程代码执行。该漏洞存在于FOSSBilling的依赖注入容器中，因为Twig模板在没有沙箱的情况下渲染，允许访问完整的Twig环境、API上下文和应用程序的依赖注入容器。 影响范围 信息泄露：模板可以访问敏感数据，包括 、 和 API全局变量，这些数据被注入到Twig环境中。这包括公司设置、客户端数据，以及在特定场景下的员工密码哈希。 远程代码执行：这些API处理器对象暴露了一个 方法，返回完整的依赖注入容器，从而允许直接访问： - PDO - 任意SQL重写整个数据库（不限于API端点返回的内容） - Symfony FilesystemAdapter - 缓存重写（启用扩展清单欺骗） - Password service - 密码哈希（创建恶意账户） - Session service - 会话操作 - 所有其他已注册的应用程序服务 通过结合 （授权绕过），认证要求被消除，允许未认证的远程攻击者实现完整的远程代码执行。当通过自定义支付网关访问此漏洞时，渲染的模板直接返回给付费客户，因此利用可能表现为存储的客户端脚本执行，加上更广泛的SSTI和DI容器滥用。 修复方案 受影响版本：FOSSBilling版本1.0至0.7.2（所有已发布的版本） 修复版本：0.8.0 详细信息 漏洞存在于模板渲染链中： 1. - 方法使用 来渲染任意字符串，没有沙箱限制。 2. - API端点将用户提供的 直接传递给 。 3. - 电子邮件模板通过 进行渲染，该方法调用 并传递模板内容和主题。 4. - Twig环境在没有沙箱的情况下配置，并启用了 。 5. / - 方法在API处理器对象中返回原始的DI容器。 以下变量在电子邮件模板中可用： ：始终可用，Guest API - 访问公共系统数据。 暴露完整的DI容器。 ：当管理员登录时可用，Admin API - 完整的管理员访问权限。 暴露完整的DI容器。 ：当 设置时可用，Client API - 客户端特定数据。 暴露完整的DI容器。 ：当 可用时，原始员工数据行（包括密码）。 ：当 可用时，清理的客户端数组（无密码）。 ：当 可用时，原始管理员模型（包括密码）。 受影响组件 - 电子邮件模板渲染 - API端点 - 模板字符串渲染 - 批量邮件活动 - 自定义支付适配器模板 - Twig配置 - 暴露完整的DI容器 - 基础实现 缓解措施 审计现有电子邮件模板以查找可疑的Twig表达式。 轮换所有管理员和客户端API令牌。 阻止对外部访问 的反向代理/WAF，以减轻与 的结合利用。 致谢 感谢@Oxcan1337负责披露、漏洞分析和PoC。特别感谢@Chocapikk识别 DI容器暴露和RCE升级链，以及@VadimReddySal独立报告了自定义支付网关中的此问题。

目標達成すべての支援者に感謝 — 100%達成しました！

FOSSBilling SSTI Vulnerability Leading to Unauthenticated RCE via DI Container Abuse

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

FOSSBilling SSTI Vulnerability Leading to Unauthenticated RCE via DI Container Abuse

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！