CVE-2018-1000861

Un script simple pour exploiter CVE-2018-1000861, écrit en Python 3

Utilisation :

usage: exploit.py [-h] -u URL [-c CMD] [-r] [-i IP] [-p PORT] [-v]

options:
  -h, --help            show this help message and exit
  -u URL, --url URL     Target Jenkins server
  -c CMD, --cmd CMD     Command to execute
  -r, --revshell        Execute reverse shell
  -i IP, --ip IP        IP address for reverse shell callback
  -p PORT, --port PORT  Port for reverse shell callback
  -v, --verbose         Verbose output

Exemple :

python exploit.py -u http://192.168.1.20 -c 'ping 192.168.1.10'

Remarques :

• Cet outil ne tente pas de vérifier si la cible est vulnérable. Il se contente d'envoyer une commande shell dans une classe Java.
• Les commandes shell exécutées ne renverront aucune sortie. Vous devrez soit avoir un moyen de vérifier que la commande s'exécute (par ex. ping + tcpdump), soit utiliser un reverse shell.
• Cette vulnérabilité affecte les installations Linux et Windows de Jenkins où le . Vous devriez tenter de vérifier le système d'exploitation cible avant d'exécuter cet outil (par exemple via le TTL ICMP ou les services disponibles).
• Le script devrait fonctionner aussi bien sous Linux que sous Windows.
• Le module reverse shell (options -r, -i, p) n'est pas implémenté.
• Utilisez de manière responsable.

À faire :

• Modules reverse shell spécifiques à la plateforme
• Identification de la vulnérabilité
• Verbosité avec identification de la vulnérabilité

Références :

• Crédit à Orange Tsai
• https://github.com/orangetw/awesome-jenkins-rce-2019
• https://blog.orange.tw/2019/02/abusing-meta-programming-for-unauthenticated-rce.html
• https://twitter.com/orange_8361/status/1075492505657925632