appcheck-ng/salt-rce-scanner-cve-2020-11651-cve-2020-11652Herramienta de escaneo para probar vulnerabilidades de SaltStack CVE-2020-11651 y CVE-2020-11652.
¿Qué es?
Herramienta de escaneo para probar vulnerabilidades de SaltStack CVE-2020-11651 y CVE-2020-11652.
Las vulnerabilidades permiten a un atacante que puede conectarse al puerto del "servidor de solicitudes" eludir todos los controles de autenticación y autorización y publicar mensajes de control arbitrarios, leer y escribir archivos en cualquier lugar del sistema de archivos del servidor "maestro" y robar la clave secreta utilizada para autenticarse en el maestro como root. El impacto es la ejecución remota completa de comandos como root tanto en el maestro como en todos los minions que se conectan a él.
Cómo instalarlo.
La herramienta requiere Python 2.7 o Python 3. Los requisitos externos se pueden instalar con pip o easy_install. Por ejemplo:
sudo pip install -r requirements.txt
¿Cómo usarlo?
Se incluyen 2 métodos de detección:
Divulgación de token (-t)
Este método se invoca con la opción -t e intenta leer el token root de Salt explotando la falla. Aunque este método es autocontenido, solo funciona en versiones más nuevas; algunas versiones antiguas no son compatibles.
Ejecución remota de código a Out-of-Band (DNS) (-c)
Este método explota la falla ejecutando el comando nslookup para activar una búsqueda DNS al servidor Appcheck Sentinel. El escáner luego consulta el servidor DNS de AppCheck para determinar si se ejecutó. Para lograr esto, la herramienta necesita conectarse a https://ptst.io/
Nota: Para más información sobre Sentinel, consulte la sección [4] a continuación.
Línea de comandos recomendada: salt_rce_scanner.py -r cidr_ip_range -t -c
[Opciones de línea de comandos]
/ _ \ / __ \ | | |
/ /\ _ __ _ __ | / / |__ ___ | | __
| _ | ' | ' | | | ' \ / _ / __| |/ /
| | | | |) | |) | _/\ | | | / (| <
_| |/ ./| ./ _/| ||_|___||_
| | | |
|| |_|
Escáner SaltStack (CVE-2020-11651 y CVE-2020-11652)
Autor: Gary O'Leary-Steele
Versión: 0.1 Alpha
Use -h para ver las opciones de uso
argumentos opcionales: -h, --help mostrar este mensaje de ayuda y salir -r CIDR_RANGE Host objetivo o rango CIDR a escanear -p PORT Puerto objetivo (4506 por defecto) -c Habilitar prueba de inyección de comandos remotos (DNS fuera de banda a AppCheck Sentinel) -t Habilitar verificación de divulgación de token root -T THREADS Máximo de hilos (el valor predeterminado es 50) -o OUTPUT_FILE Archivo de salida
[4] AppCheck Sentinel
= Antecedentes =
Tradicionalmente, las fallas de seguridad en aplicaciones web se detectan modificando la entrada proporcionada por el cliente en un intento de activar una respuesta específica del servidor. Por ejemplo, las fallas de inyección SQL a menudo se detectan enviando cargas útiles que causan que el servidor de la base de datos devuelva una firma; en otros casos, las cargas útiles están diseñadas para activar un retraso de tiempo específico que se puede medir para detectar la falla. En cada caso, estos métodos utilizan técnicas en banda donde tanto el ataque como la respuesta toman el mismo camino que el tráfico regular del sitio web y resultan en una confirmación inmediata de la vulnerabilidad.
= Detección fuera de banda =
Sin embargo, hay casos en los que las técnicas en banda no son efectivas. Por ejemplo, considere un sitio de comercio electrónico que recopila pedidos que luego se revisan a través de un sistema de procesamiento de pedidos de back-end. Si bien AppCheck detectará vulnerabilidades (en banda) dentro del sitio de comercio electrónico durante un escaneo de rutina, las vulnerabilidades dentro del sistema de procesamiento de pedidos de back-end pueden no activarse hasta que sean accedidas (por otro usuario o proceso) más adelante.
Otros casos comunes surgen cuando la activación de la vulnerabilidad no proporciona un mecanismo en banda confiable para confirmar la falla. Por ejemplo, medir los tiempos de respuesta del servidor podría no ser confiable si los tiempos de respuesta normales del servidor son erráticos. En otros casos, la vulnerabilidad puede no afectar la forma en que responde el servidor, independientemente de si se explota con éxito o no.
Para superar estas restricciones, AppCheck implementa un sistema de detección fuera de banda llamado Sentinel.
Sentinel es un sistema de monitoreo basado en la nube que aloja servicios DNS, SMTP, HTTP(s) y SMB especialmente diseñados que interceptan conexiones fuera de banda activadas como resultado de una carga útil de ataque de AppCheck.
Durante un escaneo, AppCheck envía cargas útiles especialmente diseñadas para activar conexiones fuera de banda cuando se ejecutan con éxito. Sentinel luego detecta esta ejecución y actualiza los resultados del escaneo en consecuencia. Una de las técnicas más comunes es el uso de tokens DNS incrustados dentro de la carga útil. Por diseño, las consultas DNS se reenvían al servidor DNS autoritativo para un dominio dado con el fin de ser resueltas. Por lo tanto, incluso si el sistema vulnerable no tiene permiso para acceder a Internet, siempre que pueda resolver nombres DNS, puede comunicarse con Sentinel.