CVE-2022-33891 PoC

PoC para CVE-2022-33891, com capacidade de definir payloads personalizados.

Não vulnerável por padrão -- spark.acls.enable precisa ser TRUE.

Uso pretendido

A utilização deste script é limitada a pessoal autorizado a executar o payload nos hosts de destino exclusivamente para fins de correção de vulnerabilidades. Antes de executar este script, certifique-se de que está autorizado.

Uso

git clone https://github.com/west-wind/CVE-2022-33891.git
python cve-2022-33891.py

Começando

Este POC espera receber todos os alvos em um arquivo CSV chamado --> allTargets.csv com uma coluna chamada --> targets, contendo todos os alvos que precisam ser escaneados ex., http://12.23.45.67:9099 ou http://spark.domain.com. A / será adicionada pelo script.

Insira o payload a ser executado no alvo no arquivo POC.conf. Seu host em --> yourHostHere http://my_domain_here.com Seu payload em --> yourPayloadHere payload.sh

Feito para fins de pesquisa.

SPL de Detecção

index=web sourcetype IN (nginx, waf_logs) url=*/?doAs*
| eval decodedIndicators=urldecode(url)
| table _time src_ip dest status request url decodedIndicators

Correção e Referências

NIST NVD

Apache Advisory

W01fh4cker