OpenSSH Vulnerability - CVE-2023-38408 📚

소개

OpenSSH(9.3p2 이전 버전)에서 취약점이 발견되었습니다. OpenSSH의 ssh-agent에 있는 PKCS#11 기능은 충분히 신뢰할 수 없는 검색 경로를 사용하므로, 에이전트가 공격자가 제어하는 시스템으로 전달되면 원격 코드 실행으로 이어질 수 있습니다(/usr/lib의 코드는 ssh-agent에 로드하기에 반드시 안전한 것은 아닙니다). 이 결함으로 인해 서버에서 전달된 에이전트 소켓을 제어하고 클라이언트 호스트의 파일 시스템에 쓸 수 있는 공격자는 ssh-agent를 실행 중인 사용자의 권한으로 임의 코드를 실행할 수 있습니다.

아래 예제에서는 탐색부터 alice 사용자 손상까지의 단계를 간략히 확인할 수 있습니다.

1단계 - 공격자 사용자는 SSH를 통해 서버에 연결합니다.
2단계 - 사용자 Alice도 서버에서 ssh를 통해 연결되어 있습니다.
3단계 - 공격자는 ssh 프로세스를 통해 대상 서버로 보낼 셸코드를 생성합니다.
4단계 - 공격자가 보낸 셸코드는 ssh-agent의 PKCS#11 취약점을 악용하여 Alice 사용자의 ssh 액세스를 가로채는 새 프로세스를 생성합니다.
5단계 - 공격자의 정상적인 액세스를 통해 Alice 사용자로 운영 명령을 실행할 수 있으며, nc localhost 31337을 통해 셸코드에 생성된 익스플로잇에 접근할 수 있습니다.

어떻게 만들까요? POC를 만들어 봅시다

앞서 언급했듯이 이 POC에서는 SSH를 통해 서버에 연결된 2명의 사용자를 사용합니다. 아래 단계를 따르려면 2명의 사용자가 이미 서버(SSH)에 접근 권한이 있다고 가정합니다.

원격 공격자 머신에서 실행 중인 SSH 에이전트의 PID를 얻어 환경 변수로 내보냅니다. 또한 ssh-add를 통해 linuxx64.elf.stub(UEFI 부트 스텁) 파일을 추가했습니다.

echo /tmp/ssh-*/agent.*
export SSH_AUTH_SOCK=/tmp/ssh-NqLP6il36s/agent.3452
ssh-add -s /usr/lib/systemd/boot/efi/linuxx64.elf.stub

CVE-2023-38408

인기

CVE-2023-38408이 나에게 영향을 미치나요? ❓

내 도구를 사용한 CVE 탐지 자동화

설치

사용법

프로토콜 흐름

간단한 출력

면책 조항