dotCMS 权限绕过致RCE漏洞分析报告

漏洞概述 该漏洞允许任何经过身份验证的后端用户通过分配管理员设置布局（包含角色端口）并随后通过OSGi bundle上传实现远程代码执行。攻击链如下： 1. PUT /api/v1/toolgroups/{id}/_addUser：任何后端用户都可以分配管理员设置布局，而无需任何权限检查。 2. POST /api/v1/plaincall/RoleAjax.addUserToRole.do：由于角色端口现在可访问，用户可以将自己授予CMS管理员角色，唯一的门控是端口访问，这满足了步骤1。 3. 作为CMS管理员，攻击者上传恶意OSGi bundle：实现任意OS命令执行。 影响范围 受影响版本： - 第一个易受攻击的版本：21.02（2020年12月提交，2021年2月发布） - 扩大攻击面（其他用户分配）：21.03 - 21.04（2021年3月提交） - 所有受影响版本：21.02 - v28.06.22-03（当前最新），包括所有LTS分支： - 23.10 LTS - 24.04 LTS - 24.12 LTS - 25.07 LTS - 部分缓解：从v25.11.07-1开始（仍可通过链利用，直到此PR合并） - 完全修复：尚未发布 修复方案 1. ToolGroupResource.java： - 在 方法中添加 检查，适用于所有布局，除了 （自分配布局）。 - 在 方法中对称应用相同的admin guard。 2. RoleAjax.java： - 在 方法中添加 检查，在现有的端口访问检查之后，并通过 记录未授权的尝试。 - 在 方法中对称应用相同的admin guard。 POC代码 测试计划 验证低权限后端用户在PUT /api/v1/toolgroups/{id}/_addUser时收到403（非gettingstarted布局）。 验证gettingstarted布局的自分配仍适用于非管理员用户（onboarding流程不应中断）。 验证低权限后端用户在使用角色端口访问接收RoleAjax.addUserToRole时抛出DotSecurityException。 验证CMS管理员可以正常分配布局和管理工作角色。 运行研究人员的POC脚本——它应该在步骤1失败，并且永远不会达到远程代码执行。 参考 关闭dotCMS/private-issues#642 CWE-269: 不当权限管理 由Claude Code生成 版本影响 易受攻击范围：v21.02 - v28.06.22-03（当前最新） 引入漏洞的提交： - ToolGroupResource._addUser（启用步骤）：2020年12月 - RoleAjax.addUserToRole（端口仅门控）：2012年3月 漏洞引入时间线 ToolGroupResource._addToolGroupToUser：从未存在admin检查 - 2020-12-16：创建方法，没有admin检查 - 2021-03-22：添加userId参数，扩大自分配的攻击面 - 2025-11-04：部分端口级缓解（private-issues#482），不足 - PR #36344：完全修复，仅门控添加，尚未在任何版本中 红队审查 安全：需要更改 性能：轻微改进 测试覆盖：需要改进 安全细节 关键：_removeFromUser没有admin guard 高：addUserToRole / removeUsersFromRole使用端口检查，而不是基于角色的检查 高：SecurityLogger覆盖移除 低：gettingStarted自分配异常移除 性能 净正面变化 _addUser守卫在初始化器.init()中触发，在任何layout/user DB读取之前——正确的快速失败排序 isAdmin()和getAdminUserId()都在RoleCache上解析，在热路径上—— negligible overhead 预存在的反模式在addUserToRole中：loadRoleById()在admin检查之前触发——不是由这个PR引入的 轻微冗余：ResourceUtil.init()调用相同的CMS Admin角色检查——两者都是缓存命中，预存在的 测试覆盖 非管理员在_addUser上被阻止 管理员在_addUser上成功 非管理员在addUserToRole上被阻止（使用端口访问） gettingstarted非管理员自分配允许 非管理员在_removeFromUser上被阻止 管理员在_removeFromUser上成功 非管理员在removeUsersFromRole上被阻止 管理员在addUserToRole / removeUsersFromRole上成功 跨用户userId分配被非管理员阻止 SecurityLogger在未经授权尝试上被调用 推荐添加

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

dotCMS 权限绕过致RCE漏洞分析报告

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

dotCMS 权限绕过致RCE漏洞分析报告

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！