mgrube/cve-2019-17633Eclipse Che CSRF que provoca RCE
Este error permite que un sitio web remoto cree e inicie un contenedor Docker arbitrario en máquinas que ejecuten Che antes de las versiones 7.3.0 y 7.4.1 cuando un usuario visita una página web.
Se trata de un error de CSRF que permite que un sitio web remoto cree e inicie un contenedor Docker en la máquina de cualquier persona que ejecute Eclipse Che en modo independiente. Muchos parámetros bajo el control del atacante permiten un nivel preciso de control. Algunos desarrolladores usan Che en modo independiente como una forma conveniente de gestionar sus contenedores Docker locales.
Esto era posible porque Che tenía CORS habilitado por defecto. Los problemas con esto son bastante obvios para quienes entienden lo que significa, pero esencialmente Che respondía a solicitudes de cualquier origen. Aunque los navegadores hacen todo lo posible para dificultar los ataques CORS, cuando el servidor permite CORS es posible crear una solicitud POST exitosa a un servicio Che que se ejecuta localmente desde un sitio remoto.
En esencia, esto significa que cualquier método de API no autenticado puede ser invocado cuando un equipo que ejecuta Che en modo independiente visita su sitio web. Esto incluye la creación y ejecución de nuevos contenedores Docker/OpenShift.
Se incluye un POC simple con este readme, pero al examinar el JSON enviado al servicio Che local se revelan varios parámetros bastante interesantes que se pueden controlar, incluyendo qué imagen, qué comandos ejecutar al inicio, qué servidores iniciar en el contenedor y otras características bastante interesantes.
Para explotar esta vulnerabilidad, debe apuntar a alguien que esté ejecutando Eclipse Che en su computadora. Debe lograr que su objetivo visite una página que usted controle a través de HTTP. A partir de ahí, el XMLHttpRequest hace su trabajo y usted puede actuar. Para comprender completamente cómo explotar esta vulnerabilidad, debe echar un vistazo al código fuente de Che para aprender sobre la API o simplemente jugar con el POC que he colocado en este repositorio. Esencialmente, desea crear un contenedor o un comando en su contenedor recién lanzado que le proporcione el tipo de punto de apoyo que desee. Podría configurar un servidor de su elección o simplemente hacer que el comando se ejecute al inicio descargue su payload y comience a operar desde allí. Este ataque se presta tanto para ataques oportunistas como dirigidos.
Para una discusión más detallada, consulte el error registrado aquí. La mayor parte simplemente repite esta publicación.
Para ejecutar con éxito este ataque, la página debe servirse desde un servidor HTTP (no HTTPS). Esto es necesario porque un servidor Che local se ejecuta sobre HTTP y los navegadores populares no suelen mezclar contenido HTTP y HTTPS.
Para solucionar este problema, el equipo de Che simplemente deshabilitó CORS por defecto. Esto debería hacer que este tipo de ataque sea significativamente más difícil en el futuro. Si está ejecutando Che localmente para gestionar sus imágenes Docker, considere actualizar.
