CVE-2017-12635

概要

ErlangベースのJSONパーサーとJavaScriptベースのJSONパーサーの違いにより、Apache CouchDB 1.7.0より前および2.x系の2.1.1より前のバージョンでは、データベース内のアクセス制御に使用される'roles'の重複キーを持つ_usersドキュメントを送信することが可能です。これには、管理者ユーザーを示す特別なケースである'_admin'ロールも含まれます。CVE-2017-12636（リモートコード実行）と組み合わせることで、非管理者ユーザーにデータベースシステムユーザーとしてサーバー上の任意のシェルコマンドへのアクセスを許可するために使用できます。JSONパーサーの違いにより、JSON内に2つの'roles'キーが存在する場合、2番目のキーがドキュメント書き込みの認可に使用されますが、最初の'roles'キーが新しく作成されたユーザーのその後の認可に使用されるという動作が発生します。設計上、ユーザーは自分自身にロールを割り当てることはできません。この脆弱性により、非管理者ユーザーが自分自身に管理者権限を付与することが可能になります。

• Apache-couchdb-CVE-2017-12635PoC

  Dockerベースの再現環境で、Apache CouchDB CVE-2017-12635のJSONパーサーの不整合による垂直権限昇格を再現し、認証なしでの管理者作成を可能にします。

• CVE-2017-12635_36PoC

  Apache CouchDB 1.6.0 に対する CVE-2017-12635（権限昇格）と CVE-2017-12636（リモートコード実行）の悪用を実証するステップバイステップのラボ。リスク評価と修復ガイダンス付き。

• couchdb-exploitエクスプロイト