CVE-2023-25690

CVE-2023-25690の説明:

• Apache HTTP Server バージョン 2.4.0 から 2.4.55 における mod_proxy の特定の設定は、HTTP Request Smuggling（1人または複数のユーザーから受信したHTTPリクエストチェーンをWebサイトが処理するプロセスに干渉する攻撃手法）を許容します。
• これらの設定は、mod_proxy が特定の RewriteRule または ProxyPassMatch とともに有効になっている場合に影響を受け、リモート攻撃者がこの脆弱性を悪用してプロキシサーバーのアクセス制御を回避し、それによって意図しないURLをオリジンサーバーにプロキシすることができます。
• この脆弱性により、攻撃者はプロキシによって隠された内部アプリケーションを標的にしてアクセスでき、不正アクセス、データ漏洩、またはシステムへのさらなる悪用につながる可能性があります。

CVE-2023-25690 の実験

• 攻撃マシンとしてWindowsマシンを使用
• バックエンドサーバーとプロキシサーバーは、Kali Linux上のDockerを介してデプロイ

ラボのファイル構造:

実験モデル

• Windows 10 マシンのIPアドレス: 192.168.1.177
• Kali Linux マシンのIPアドレス: 192.168.27.139
• バックエンドサーバーのIPアドレス: 172.18.0.2
• プロキシサーバーのIPアドレス: 172.18.0.3
• Windows 10 が Kali マシンのポート80でホストされている Apache HTTP Server にアクセスすると、トラフィックはプロキシサーバーのポート80に転送され、さらにポート8080を介してバックエンドサーバーに転送されます。

システム要件

• 攻撃マシン:
  • OS: Windows 10
  • インストールツール: Pycharm、BurpSuite、VScode
  • ブラウザ: FireFox、FoxyProxy拡張機能を使用してプロキシを設定
• 被害マシン:
  • インストールツールとサービス: Docker、Tcpdump
  • Dockerファイルの設定（付録参照）

悪用目標: HTTP Request Smuggling の脆弱性を悪用してプロキシサーバーの制限を回避し、admin.php ページの隠し機能にアクセスする。

実験の展開:

• BurpSuite Community をプロキシとして構成し、リクエストをインターセプトして編集します。
• ブラウザで FoxyProxy 拡張機能をインストールし、プロキシ情報を追加します:
• ツールバーの FoxyProxy（ブラウザの拡張機能セクション）を Turn Off から BurpSuite Commu に切り替えます:
• BurpSuite で、intercept を on にしてパケットキャプチャを開始します:
• Kali マシンで、cd コマンドを使用して docker-composer.yml ファイルが含まれるラボディレクトリに移動し、docker composer を実行します: docker-composer up --build

CRLFインジェクションの確認:

• まず、制御文字（CRLF）を含むリクエストをシステムに送信します。例: HTTP/1.1\r\nFoo: baarr\r\r\n\n を URL エンコードすると: %20HTTP/1.1%0d%0aFoo:%20baarr
  
  => CRLF文字（%0d%0a）を挿入すると、サーバーはエラーや制限なしにリクエストを処理し、CRLF文字を挿入できることがわかります。

HTTP Request Smuggling の確認:

• 次に、次のような URI があります: /categories/1 HTTP/1.1\r\nHost: Localhost\r\n\r\nGET /SMUGGLED、URL エンコードすると: /categories/1%20HTTP/1.1%0d%0aHost:%20localhost%0d%0a%0d%0aGET%20/SMUGGLED/
  
• RewriteRule を適用した後、URL が解析され、プロキシを通過した後のリクエストは次の形式に変換されます:
  
• 1つのリクエストを送信したにもかかわらず、サーバーは2つのレスポンス（GET /categories と GET /SMUGGLED）を受信して返していることがわかります:
  

HTTP Request Smuggling の悪用:

• 仮に、httpd.conf ファイルで Proxy-Server が /admin/ ページへのアクセスをブロックするように設定されているとします:
• 次のリクエストで HTTP Request Smuggling を利用して apache-proxy のチェックメカニズムを回避できます:
  
  • ログを確認すると、apache-proxy を通過し、/admin へのリクエストが成功し、バックエンドも GET /admin に対してステータスコード200を返していることがわかります:
    
  • 仮に、admin.php ファイルに nslookup システムコマンドを実行して任意のドメインにクエリを送信する関数があるとします。目標は、プロキシのメカニズムを回避してこの隠し機能にアクセスし、DNS クエリを 任意のドメインに送信することです。ここでは、自身の Kali マシンにクエリを送信します。
    
  • 悪用コード（ファイル CVE-2023-25690.py）とファイル pre.txt（プロキシサーバーをバイパスしてシステムにリクエストを送信するために使用する smuggle リクエストが含まれています。ここでは /admin.php）があります。このコードは、pre.txt に含まれるリクエストを使用してリクエストスマグリングを作成し、サーバーに送信します。同時に、リクエストとレスポンスの結果をそれぞれ req.txt と res.txt の2つのファイルに記録します:
    
  • 同時に、Kali マシンで TCPDUMP を使用してポート53の DNS パケットをキャプチャします:
• 送信したリクエストがプロキシを通過できたことがわかります。プロキシはこのリクエストを有効と判断しました。しかし、バックエンドサーバーでは、制御文字も解析されるため、1つのリクエストが3つのリクエストに分割されました。1つ目は GET /categories.php?id=1、2つ目は GET /admin.php?secret=192.168.1.194、最後に GET /abc です:
  
• これで、プロキシがリクエスト送信を許可していない /admin.php にリクエストを送信することに成功しました:
  => TCPDUMP を確認すると、DNS パケットが送信されたことがキャプチャされました -> /admin.php の隠し機能が正常に実行されました。