名前 Aerohive HiveManager Classic Privilege Escalation Vulnerability
影響を受けるシステム HiveManager Classic 8.0r1 8.1r1
深刻度 中 6.6/10
影響 CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L/E:H/RC:C
ベンダー http://www.aerohive.com/
アドバイザリ http://www.ush.it/team/ush/hack-aerohive/aerohive-priv-exec.txt
著者 Sandro "guly" Zaccarini (guly AT guly DOT org)
日付 20170901
Aerohive Networks HiveManager Classic Online は、Aerohive ネットワーキング製品向けのクラウド対応エンタープライズクラス管理システムです。HiveManager Classic Online は、シンプルなポリシー作成、ファームウェアアップグレード、そして数千台の Aerohive アクセスポイント、スイッチ、ブランチルーターの集中監視を提供します。
Aerohive との責任ある開示: Aerohive は非常に迅速に対応するセキュリティスタッフを擁しています。
私たちの連絡に対する彼らの対応はかなり速く、24時間以内に最初の受領確認を受け取り、4日以内に公式声明を受け取りました。
本稿執筆時点のソフトウェアの最新版は、サポートポータル https://support.aerohive.com/login から入手できます。
この脆弱性により、テナントに制限されたローカルユーザーでも、JSP ウェブシェルを含むバックアップアーカイブをアップロードし、基盤となるシステム上でコードを実行することが可能になります。
影響を受けるコンポーネントは Backup Archive Handler です。
HiveManager Classic 8.0r1 で発見され、8.1r1 でも再現されました。古いバージョンも影響を受ける可能性があります。
HiveManager Classic のバックアップは、非常に単純な構造のプレーンな .tar.gz ファイルです。
アーカイブを展開すると、2つのフォルダが表示されます:
"dbxmlfile/" には HM/VHM 設定が含まれており、操作対象として興味深いファイルです。しかし、私たちの関心は "HiveManager/" に移りました。そこにはデフォルトの Tomcat Web アプリである "tomcat/webapps" というディレクトリが含まれているためです。
完全なツリーは次のようなものです:
もしそのようなディレクトリが改ざんされ、tar で gzip 圧縮され、バックアップ/リストア機能を使って復元されると、攻撃者はシステム上でコードを実行できます。
概念実証として、"webshell.jsp" ファイルを maps/ レベルに追加し、新しい .tar.gz アーカイブを作成して、その復元を試みました。
エラーは発生せず、jsp ファイルは docroot の下の URI /hm/domains/MyTenant/maps/ で利用可能でした。
さらなる分析により、フルパスが書き込み可能であることが指摘され、テナントスコープの外側でも jsp シェルをアップロードできることが判明しました。
コードは tomcat (uid/gid 501) として実行され、Web UI の完全な侵害と、他のテナントのファイルや設定へのアクセスも可能になります。
メインの HM 管理者として、"Administration -> HiveManager Operations -> Restore Database // Back Up Database" および "Administration -> Administrators" 権限を持たないグループを作成してください。
次に、すべての VHM に切り替えて、ユーザーのグループを変更します。
ベンダーは、HiveManager-NG と呼ばれる、アーキテクチャが異なり、この脆弱性の影響を受けない完全に新しいリリースに移行しています。私たちは、そのバージョンの製品に対する監査は実施していません。
Mitre はこの脆弱性に CVE-2017-14105 を割り当てました。
なし。
Sandro "guly" Zaccarini がこの脆弱性の発見者としてクレジットされています。
Sandro "guly" Zaccarini
Web サイト: http://www.ush.it/
メール: guly AT guly DOT org
Copyright (c) 2017 Sandro "guly" Zaccaini
このアラートを電子的に再配布することは許可されています。私の明示的な書面による同意なしに、いかなる方法でも編集することはできません。このアラートの全体または一部を電子的以外の媒体で転載したい場合は、許可を得るために私に電子メールで連絡してください。
免責事項: このアドバイザリの情報は、公開時点で利用可能な情報に基づいて正確であると考えられています。情報の使用は、AS IS 条件での使用に対する承諾を構成します。この情報に関して保証はありません。著者も発行者も、この情報の使用または依存から生じる直接的、間接的、または結果的な損失や損害について一切の責任を負いません。
