daniilorchikov/pil-cve-2017-8291PoC educativo per CVE-2017-8291 (GhostButt) che dimostra l'esecuzione remota di comandi tramite l'elaborazione di immagini EPS di Python PIL/Pillow con bypass della sandbox di GhostScript.
Python PIL (Pillow) è una popolare libreria di elaborazione delle immagini per Python. Supporta vari formati di immagine e offre potenti capacità di manipolazione delle immagini.
Il modulo Python di elaborazione delle immagini PIL (Pillow) è affetto dalla vulnerabilità GhostButt (CVE-2017-8291) perché chiama internamente GhostScript per elaborare immagini EPS. Questa vulnerabilità consente agli aggressori di eseguire comandi arbitrari sul sistema di destinazione.
Quando PIL elabora un'immagine, determina il tipo di immagine in base all'intestazione del file (Magic Bytes). Se identifica un file EPS (intestazione che inizia con %!PS), passa il file a PIL/EpsImagePlugin.py per l'elaborazione.
In questo modulo, PIL chiama il comando GhostScript di sistema (gs) per elaborare il file immagine:
command = ["gs",
"-q", # quiet mode
"-g%dx%d" % size, # set output geometry (pixels)
"-r%fx%f" % res, # set input DPI (dots per inch)
"-dBATCH", # exit after processing
"-dNOPAUSE", # don't pause between pages,
"-dSAFER", # safe mode
"-sDEVICE=ppmraw", # ppm driver
"-sOutputFile=%s" % outfile, # output file
"-c", "%d %d translate" % (-bbox[0], -bbox[1]),
# adjust for image origin
"-f", infile, # input file
]
# Code to check if GhostScript is installed is omitted
try:
with open(os.devnull, 'w+b') as devnull:
subprocess.check_call(command, stdin=devnull, stdout=devnull)
im = Image.open(outfile)
Sebbene il flag -dSAFER sia impostato (modalità sicura), una vulnerabilità di bypass della sandbox in GhostScript (GhostButt CVE-2017-8291) consente di aggirare questo meccanismo di sicurezza, permettendo l'esecuzione arbitraria di comandi.
Al momento della scrittura, anche l'ultima versione ufficiale di GhostScript 9.21 è ancora affetta da questa vulnerabilità. Pertanto, finché GhostScript è installato sul sistema operativo, PIL è vulnerabile all'esecuzione di comandi.
Riferimenti:
Eseguire il seguente comando per avviare un'applicazione web vulnerabile alla vulnerabilità CVE-2017-8291:
docker compose up -d
Dopo l'avvio, visitare http://your-ip:8000/ per accedere alla pagina di upload.
La funzionalità normale di questa applicazione consente agli utenti di caricare un file PNG. Il backend utilizza PIL per caricare l'immagine e restituirne le dimensioni. Tuttavia, possiamo sfruttare ciò cambiando l'estensione di un file EPS eseguibile in PNG e caricandolo. Poiché il backend determina il tipo di immagine in base all'intestazione del file piuttosto che all'estensione, il controllo dell'estensione del file può essere aggirato.
Ad esempio, possiamo caricare poc.png, che eseguirà il comando touch /tmp/aaaaa sul server. Modificando il comando nel POC in un comando di reverse shell, possiamo ottenere accesso shell al server:
