shun1403/cve-2017-8291Laboratorio basato su Docker che dimostra lo sfruttamento di CVE-2017-8291 (GhostButt) tramite l'elaborazione di immagini EPS con Python PIL/Pillow, con un'applicazione web vulnerabile e un exploit proof-of-concept.
Python PIL (Pillow) è una popolare libreria di elaborazione delle immagini per Python. Supporta vari formati di immagine e offre potenti capacità di manipolazione delle immagini.
Il modulo di elaborazione delle immagini Python PIL (Pillow) è affetto dalla vulnerabilità GhostButt (CVE-2017-8291) perché internamente chiama GhostScript per elaborare immagini EPS. Questa vulnerabilità consente agli aggressori di eseguire comandi arbitrari sul sistema di destinazione.
Quando PIL elabora un'immagine, determina il tipo di immagine in base all'intestazione del file (Magic Bytes). Se identifica un file EPS (intestazione che inizia con %!PS), passa il file a PIL/EpsImagePlugin.py per l'elaborazione.
In questo modulo, PIL chiama il comando GhostScript del sistema (gs) per elaborare il file immagine:
command = ["gs",
"-q", # quiet mode
"-g%dx%d" % size, # set output geometry (pixels)
"-r%fx%f" % res, # set input DPI (dots per inch)
"-dBATCH", # exit after processing
"-dNOPAUSE", # don't pause between pages,
"-dSAFER", # safe mode
"-sDEVICE=ppmraw", # ppm driver
"-sOutputFile=%s" % outfile, # output file
"-c", "%d %d translate" % (-bbox[0], -bbox[1]),
# adjust for image origin
"-f", infile, # input file
]
# Code to check if GhostScript is installed is omitted
try:
with open(os.devnull, 'w+b') as devnull:
subprocess.check_call(command, stdin=devnull, stdout=devnull)
im = Image.open(outfile)
Sebbene il flag -dSAFER sia impostato (modalità sicura), una vulnerabilità di bypass della sandbox in GhostScript (GhostButt CVE-2017-8291) consente di eludere questo meccanismo di sicurezza, permettendo l'esecuzione arbitraria di comandi.
Al momento in cui scriviamo, anche l'ultima versione ufficiale di GhostScript 9.21 è ancora affetta da questa vulnerabilità. Pertanto, finché GhostScript è installato sul sistema operativo, PIL è vulnerabile all'esecuzione di comandi.
Riferimenti:
Esegui il comando seguente per avviare un'applicazione web vulnerabile alla vulnerabilità CVE-2017-8291:
docker compose up -d
Dopo l'avvio, visita http://your-ip:8000/ per accedere alla pagina di upload.
La funzionalità normale di questa applicazione consente agli utenti di caricare un file PNG. Il backend utilizza PIL per caricare l'immagine e restituirne le dimensioni. Tuttavia, possiamo sfruttare questa funzionalità modificando l'estensione di un file EPS eseguibile in PNG e caricandolo. Poiché il backend determina il tipo di immagine in base all'intestazione del file e non all'estensione, il controllo dell'estensione del file può essere bypassato.
Ad esempio, possiamo caricare poc.png, che eseguirà il comando touch /tmp/aaaaa sul server. Modificando il comando nel POC in un comando di reverse shell, possiamo ottenere accesso shell al server:
