mgrube/cve-2019-17633Eclipse Che CSRF menant à une RCE
Ce bug permet à un site web distant de créer et de démarrer un conteneur docker arbitraire sur les machines exécutant Che avant les versions 7.3.0 et 7.4.1 lorsqu’un utilisateur visite une page web.
Il s’agit d’un bug CSRF qui permet à un site web distant de créer et de démarrer un conteneur docker sur la machine de toute personne exécutant Eclipse Che en mode autonome. De nombreux paramètres contrôlés par l’attaquant offrent un niveau de contrôle précis. Certains développeurs utilisent Che en mode autonome comme moyen pratique de gérer leurs conteneurs docker locaux.
Cela était possible car Che avait CORS activé par défaut. Les problèmes liés à cela sont assez évidents pour les personnes qui comprennent ce que cela signifie, mais essentiellement, Che répondait aux requêtes provenant de n’importe quelle source. Bien que les navigateurs fassent de leur mieux pour rendre les attaques CORS difficiles, lorsque le serveur autorise CORS, il est possible de créer une requête POST réussie vers un service Che local à partir d’un site distant.
Essentiellement, cela signifie que toute méthode API non authentifiée peut être appelée lorsqu’un ordinateur exécutant Che en mode autonome visite leur site web. Cela inclut la création et l’exécution de nouveaux conteneurs Docker/OpenShift.
Un POC simple est inclus avec ce readme, mais un examen du JSON envoyé au service Che local révèle un certain nombre de paramètres assez intéressants à contrôler, notamment quelle image, quelles commandes exécuter au démarrage, quels serveurs démarrer dans le conteneur et d’autres caractéristiques assez intéressantes.
Pour exploiter cette vulnérabilité, vous devez cibler une personne qui exécute Eclipse Che sur son ordinateur. Vous devez amener votre cible à visiter une page que vous contrôlez via HTTP. À partir de là, le XMLHttpRequest fait son travail et vous pouvez agir à votre guise. Pour comprendre pleinement comment exploiter cette vulnérabilité, vous devriez jeter un œil au code source de Che pour en apprendre davantage sur l’API ou simplement jouer avec le POC que j’ai placé dans ce dépôt. Essentiellement, vous voulez créer soit un conteneur, soit une commande dans votre conteneur nouvellement lancé qui vous donne le type de point d’appui que vous souhaitez. Vous pouvez configurer un serveur de votre choix ou simplement faire en sorte que la commande exécutée au lancement télécharge votre charge utile et commence à opérer à partir de là. Cette attaque se prête aux attaques opportunistes comme aux attaques ciblées.
Pour une discussion plus détaillée, consultez le bug suivi ici. La plupart du contenu ne fait que répéter ce post.
Pour exécuter cette attaque avec succès, la page doit être servie depuis un serveur HTTP (et non HTTPS). Cela est nécessaire car un serveur Che local fonctionne via HTTP et les navigateurs populaires n’aiment pas mélanger le contenu HTTP et HTTPS.
Pour corriger ce problème, l’équipe Che a simplement désactivé CORS par défaut. Cela devrait au minimum rendre ce type d’attaque nettement plus difficile à l’avenir. Si vous exécutez Che localement pour gérer vos images docker, envisagez de mettre à niveau.
