Selam, son zamanlarda XenForo kurulu birkaç forumda test yaparken ilginç bir blind SSRF durumuyla karşılaştım. Aslında tam exploit değil, daha çok misconfig + eski bir eklenti kombinasyonu üzerinden iç ağa ve bulut metadata endpoint'lerine sızmak gibi bir şey. Özellikle AWS üzerinde çalışan XenForo kurulumlarında işler bayağı ilginçleşiyor.
Konu kısaca şöyle: XenForo'nun "Image Proxy" özelliği ve bazı üçüncü parti eklentiler (özellikle eski sitemap veya avatar import eklentileri) dışarıdan URL alıp fetch ediyor. Bu fetch işlemi yeterince kısıtlanmamışsa, instance metadata servisine (169.254.169.254) istek atabiliyorsun.
Hidden content - for more
Konuyu Görebilmeniz için "Beğenmeniz ve Yorum yapmaniz" Gerekir.
Bu şekilde metadata rolünü görebiliyorsun. Sonra da o role'ün credential'larını çekmek için ikinci bir istek atıyorsun. Tabii ki rate limit ve timeout ayarları çok kritik, yoksa hemen ban yiyorsun.
Bir de terminal çıktısı örneği vereyim, nmap ile hızlıca metadata portunu taradığımda şöyle görünüyor:
Hidden content - for more
Konuyu Görebilmeniz için "Beğenmeniz ve Yorum yapmaniz" Gerekir.
XenForo tarafında bu açığı tetikleyebilmek için genellikle "imageproxy" veya "attachment" endpoint'leri üzerinden denemek gerekiyor. Bazı kurulumlarda proxy.php doğrudan dışarıdan erişime açık kalabiliyor.
Kısacası, güncel XenForo kurulumlarında bile eklenti ve konfigürasyon hataları yüzünden bu tarz istekler hala mümkün olabiliyor. Özellikle AWS IAM rolleri açık bırakılmışsa işler bayağı hızlanıyor.
