sasukeourad/cve-2021-41277_ssrfProof-of-Concept, das SSRF und LFI in Metabase-Versionen < 0.40.5 (CVE-2021-41277) demonstriert, einschließlich internem Netzwerk-Scanning und Zugriff auf Cloud-Metadaten-Endpunkte.
CVE-2021-41277 kann zu einem SSRF erweitert werden
Metabase ist eine Open-Source-Plattform für Datenanalysen. Metabase-Versionen < 0.40.5 waren von CVE-2021-41277 betroffen, was laut CVE-Beschreibung zu einer lokalen Dateieinbindung führte.
Bei der Analyse des in der Metabase-Sicherheitsempfehlung beschriebenen Befunds und beim Diffing des Codes schien es, dass dies zu einem SSRF erweitert werden kann, da URL-Schemas nicht gefiltert wurden.
Der erste Test besteht darin, einen externen Server aufzurufen. Dies würde wie unten gezeigt erfolgreich durchgeführt werden. Eine Metabase-Instanz würde einen externen Server aufrufen.
Der zweite Test besteht darin, das interne Netzwerk zu scannen. Zunächst wird das LFI genutzt, um das Netzwerk zu identifizieren:
Anschließend können verschiedene IP-Adressen und Ports abgefragt werden, um laufende Dienste zu identifizieren
Der dritte Test besteht darin, ein anderes Schema zu verwenden. FTP zum resque. Auch das würde funktionieren. Es ist jedoch wichtig zu beachten, dass Metabase den Content-Type der Antwort gut erzwingt, was eine Eskalation dieses Angriffs zu einem RCE verhindert.
Schließlich ermöglicht diese Schwachstelle Angreifern, interne AWS- und Google-Cloud-Seiten zu erreichen, die sensible Informationen preisgeben können, wie unten gezeigt:
Dies wurde verantwortungsvoll an Metabase gemeldet. Ich schätze die Reaktion und Professionalität ihres Sicherheitsteams.
