salt-rce-scanner-CVE-2020-11651-CVE-2020-11652

Che cos'è?

Strumento di scansione per testare le vulnerabilità di SaltStack CVE-2020-11651 e CVE-2020-11652.

Le vulnerabilità consentono a un attaccante che può connettersi alla porta del "request server" di bypassare tutti i controlli di autenticazione e autorizzazione e pubblicare messaggi di controllo arbitrari, leggere e scrivere file ovunque sul filesystem del server "master" e rubare la chiave segreta utilizzata per autenticarsi al master come root. L'impatto è l'esecuzione remota completa di comandi come root sia sul master che su tutti i minion che si connettono ad esso.

Come installarlo.

Lo strumento richiede Python 2.7 o Python 3. I requisiti esterni possono essere installati con pip o easy_install. Per esempio:

sudo pip install -r requirements.txt

Come usarlo?

Sono inclusi 2 metodi di rilevamento:

• Divulgazione del token (-t)

  Questo metodo viene richiamato con l'opzione -t e tenta di leggere il token root di Salt sfruttando la falla. Sebbene questo metodo sia autonomo, funziona solo su versioni più recenti; alcune versioni più vecchie non sono supportate.

• Esecuzione di codice remoto Out-of-Band (DNS) (-c)

  Questo metodo sfrutta la falla eseguendo il comando nslookup per attivare una ricerca DNS al server Appcheck Sentinel. Lo scanner consulta quindi il server DNS di AppCheck per determinare se è stato eseguito. Per ottenere questo, lo strumento deve connettersi a https://ptst.io/

  Nota: Per ulteriori informazioni su Sentinel, vedere la sezione [4] di seguito

  Riga di comando consigliata: salt_rce_scanner.py -r cidr_ip_range -t -c

[Opzioni della riga di comando]

/ _ \ / __ \ | | | / /\ _ __ _ __ | / / |__ ___ | | __ | _ | ' | ' | | | ' \ / _ / __| |/ / | | | | |) | |) | _/\ | | | / (| < _| |/ ./| ./ _/| ||_|___||_
| | | | || |_|

  SaltStack Scanner (CVE-2020-11651 & CVE-2020-11652)
  Autore:   Gary O'Leary-Steele
  Versione:  0.1 Alpha

Usa -h per vedere le opzioni di utilizzo

argomenti opzionali: -h, --help mostra questo messaggio di aiuto ed esce -r CIDR_RANGE Host di destinazione o intervallo CIDR da scansionare -p PORT Porta di destinazione (4506 per impostazione predefinita) -c Abilita il test di iniezione di comandi remoti (DNS out-of-band verso AppCheck Sentinel) -t Abilita il controllo di divulgazione del token root -T THREADS Numero massimo di thread (il valore predefinito è 50) -o OUTPUT_FILE File di output

[4] AppCheck Sentinel

= Contesto =

Tradizionalmente, le falle di sicurezza delle applicazioni web vengono rilevate modificando l'input fornito dal client nel tentativo di attivare una risposta specifica dal server. Ad esempio, le falle di SQL Injection vengono spesso rilevate inviando payload che causano la restituzione di una firma da parte del server di database; in altri casi, i payload sono progettati per attivare un ritardo specifico che può essere misurato per rilevare la falla. In ogni caso, questi metodi utilizzano tecniche in-band in cui sia l'attacco che la risposta seguono lo stesso percorso del normale traffico del sito web e si traducono in una conferma immediata della vulnerabilità.

= Rilevamento Out-of-Band =

Ci sono casi, tuttavia, in cui le tecniche in-band non sono efficaci. Ad esempio, si consideri un sito di e-commerce che raccoglie ordini che vengono poi successivamente esaminati tramite un sistema di elaborazione degli ordini back-end. Mentre AppCheck rileverà vulnerabilità (in-band) all'interno del sito di e-commerce durante una scansione di routine, le vulnerabilità all'interno del sistema di elaborazione degli ordini back-end potrebbero non attivarsi finché non vengono accedute (da un altro utente o processo) più avanti.

Altri casi comuni si presentano quando l'attivazione della vulnerabilità non fornisce un meccanismo in-band affidabile per confermare la falla. Ad esempio, la misurazione dei tempi di risposta del server potrebbe essere inaffidabile se i normali tempi di risposta del server sono irregolari. In altri casi, la vulnerabilità potrebbe non influire sul modo in cui il server risponde, indipendentemente dal fatto che sia stata sfruttata con successo o meno.

Per superare queste restrizioni, AppCheck implementa un sistema di rilevamento Out-of-Band chiamato Sentinel.

Sentinel è un sistema di monitoraggio basato su Cloud che ospita servizi DNS, SMTP, HTTP(s) e SMB appositamente progettati che intercettano le connessioni Out-of-band attivate a seguito di un payload di attacco AppCheck.

Durante una scansione, AppCheck invia payload appositamente creati e progettati per attivare connessioni Out-of-Band quando vengono eseguiti con successo. Sentinel rileva quindi questa esecuzione e aggiorna di conseguenza i risultati della scansione. Una delle tecniche più comuni è l'uso di token DNS incorporati nel payload. Per impostazione predefinita, le query DNS vengono inoltrate al server DNS autorevole per un dato dominio per essere risolte. Pertanto, anche se al sistema vulnerabile non è consentito accedere a Internet, purché sia in grado di risolvere i nomi DNS, può comunicare con Sentinel.