teamcity-idea-cve-2020-35667-poc

TeamCity IntelliJ IDEA Plugin: Abfangen von Anmeldedaten (CVE-2020-35667)

Schnellzugriffe

Proof-of-Concept-Bericht | Workflow-Analyse | Server-Skript

Beschreibung

Dies ist eine Reproduktion von CVE-2020-35667 durch Erstellen eines gefälschten XML-RPC-TeamCity-Endpunkts.
CVE-2020-35667 ist eine SSRF-Schwachstelle im JetBrains-TeamCity-Plugin für die IntelliJ-IDE.
Das alte TeamCity-IntelliJ-Plugin fordert einen öffentlichen Schlüssel vom Server an, verschlüsselt das Passwort damit und sendet es zurück.
Da der Server vom Angreifer kontrolliert wird, entschlüsselt der Angreifer die Klartext-Anmeldedaten und protokolliert sie.

Die Schwachstelle wurde von Jonathan Leitschuh gemeldet (https://blog.jetbrains.com/blog/2021/02/03/jetbrains-security-bulletin-q4-2020/).

Die Auswirkung der Ausnutzung dieser Schwachstelle ist das Abfangen von Klartext-Benutzeranmeldedaten während des Plugin-Anmeldeprozesses über einen vom Angreifer kontrollierten XML-RPC-Endpunkt.

Reproduktionsumgebung

Dies ist meine Umgebung zur Reproduktion des Problems:

• IntelliJ IDEA Community Edition 2018.1.8

  • https://www.jetbrains.com/idea/download/other.html

• TeamCity 2020.2.1 (build 85633)

  • https://www.jetbrains.com/help/teamcity/previous-releases-downloads.html#TeamCity+2020.2.1

• Verwundbares TeamCity-IntelliJ-Plugin

  • Herunterladen über die TeamCity-Dashboard-Benutzeroberfläche, nachdem TeamCity ausgeführt wurde.
  • Name der ZIP-Datei des Plugins: TeamCity-IDEAplugin.zip;
  • SHA256-Hash: 98aaaea4276f718c6c9cf3cb5383da1be6af9daa29e5b17fda8fa70d6bc1342f

• Betriebssystem: Windows 10

• Python-Version: 3.12.7

• Die Python-Abhängigkeiten befinden sich in cve2020-35667/requirements.txt

Schnellstart

pip install -r requirements.txt
python poc_server.py
# Server listens on http://127.0.0.1:8888

1. Installieren oder aktivieren Sie in IntelliJ das alte TeamCity-Plugin.
2. Wählen Sie im IntelliJ-Menü: TeamCity -> Login -> Server-URL: http://127.0.0.1:8888.
3. Geben Sie einen Test-Benutzernamen und ein Test-Passwort ein und klicken Sie auf Verbinden.

Erwartetes Ergebnis (verwundbar): Benutzeranmeldedaten werden in der Serverkonsole protokolliert.

Erwartetes Verhalten im sicheren Fall: Der Client validiert die Serveridentität und die Authentizität des Schlüssels; die Anmeldedaten werden keinem vorgetäuschten Endpunkt ausgesetzt.

Referenzen

• https://www.cvedetails.com/cve/CVE-2020-35667/
• https://www.cvedetails.com/version-search.php?cpeMatchCriteriaId=3e994ed2-05fc-4b08-a580-fda3748d8e26
• https://www.cvedetails.com/version/1136868/Jetbrains-Teamcity-2020.2.1.html
• https://www.cvedetails.com/metasploit-modules/version-1136868/Jetbrains-Teamcity-2020.2.1.html
• https://www.cve.org/CVERecord?id=CVE-2020-35667
• https://nvd.nist.gov/vuln/detail/CVE-2020-35667
• https://cwe.mitre.org/data/definitions/918.html
• https://blog.jetbrains.com/blog/2021/02/03/jetbrains-security-bulletin-q4-2020/
• https://www.jetbrains.com/teamcity/
• https://www.youtube.com/watch?v=zqi4fDF-S60
• https://x-stream.github.io/tutorial.html
• https://en.wikipedia.org/wiki/XML-RPC