CVE-2025-69600

• Autor: Rafael José Núñez Gulías
• Unternehmen: Iberian Var Group
• Betroffene Produkte: RayVentory Scan Engine 12.6 Update 8 und frühere Versionen
• Raynet-Hinweis: RSEC200966

Befehlseinschleusung (Command Injection) in Raynets rvia ermöglicht Angreifern, Befehle über die Optionen getconfig, upload, inventory und oracle auszuführen.

Eine Validierung wird nur durchgeführt (falls über die Konfigurationseigenschaft ForbiddenCurlChars in der /etc/rvia_configuration konfiguriert), wenn die URL aus der Konfigurationsdatei /opt/rvia/rvia.cfg bezogen wird, nicht jedoch, wenn die URL direkt an die Optionen getconfig oder upload übergeben wird.

/opt/rvia/rvia getconfig \;command\;

Im Hintergrund sieht der konstruierte Befehl wie folgt aus:

Auch über die Option oracle ist es möglich, Befehle einzuschleusen.

Diese Option könnte fehlschlagen, wenn von rvia keine Java-Umgebung gefunden wird (im Hintergrund wird ein Aufruf des Befehls find durchgeführt) und die Option javaPaths in der /opt/rvia/rvia.cfg nicht gesetzt ist

In diesem Fall ist die /opt/rvia/rvia.cfg mit der Option javaPaths=/usr/lib/jvm/java-21-openjdk-amd64/ definiert.

/opt/rvia/rvia oracle \;command\;

Der konstruierte Befehl sieht wie folgt aus:

Das Gleiche tritt in der Konfigurationsdatei (/opt/rvia/rvia.cfg) mit den Optionen oracleUser und oraclePass auf.

Der Aufruf im Hintergrund ist der folgende:

Das Gleiche gilt für die Option upload, indem nach der URL-Spezifikation ein auszuführender Befehl angegeben wird. In diesem Fall ist ein vorheriges Maskieren von doppelten Anführungszeichen erforderlich, sowie ein Doppelkreuz am Ende des Befehls, um die folgenden Argumente zu ignorieren.

Diese Option könnte fehlschlagen, wenn im Verzeichnis /opt/rvia/results (standardmäßig) keine Inventardateien zum Hochladen vorhanden sind, die von der Option inventory erstellt werden

/opt/rvia/rvia upload \"\;command\;#

In ltrace sehen wir Folgendes:

Schließlich ist auch die Option inventory angreifbar.

/opt/rvia/rvia inventory \;command\;

Der konstruierte Befehl im Hintergrund: