CVE-2023-34362

POC для CVE-2023-34362, затрагивающий MOVEit Transfer

Технический анализ

Технический анализ первопричины уязвимости можно найти в нашем блоге: https://www.horizon3.ai/moveit-transfer-cve-2023-34362-deep-dive-and-indicators-of-compromise/

Краткое описание

Этот POC использует SQL-инъекцию для получения токена доступа к API системного администратора, а затем использует этот доступ для злоупотребления вызовом десериализации с целью получения удаленного выполнения кода.

Этому POC необходимо обратиться к конечной точке поставщика удостоверений, которая содержит правильные сертификаты RS256, используемые для подделки произвольных токенов пользователей. По умолчанию этот POC использует нашу конечную точку IDP, размещенную в AWS.

По умолчанию эксплойт записывает файл в C:\Windows\Temp\message.txt. Альтернативные полезные нагрузки могут быть сгенерированы с использованием проекта ysoserial.net.

Использование

python CVE-2023-34362.py https://127.0.0.1
[*] Getting sysadmin access token
[*] Got access token
[*] Getting FolderID
[*] Got FolderID: 963611079
[*] Starting file upload
[*] Got FileID: 965943963
[*] Injecting the payload
[*] Payload injected
[*] Triggering payload via resume call
[+] Triggered the payload!
[*] Deleting uploaded file

Меры по смягчению

Обновитесь до последней версии или примите меры, следуя инструкциям в консультации Progress.

• https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023

Подписывайтесь на команду Horizon3.ai Attack Team в Twitter для получения последних исследований в области безопасности:

• Horizon3 Attack Team
• James Horseman
• Zach Hanley

Отказ от ответственности

Данное программное обеспечение создано исключительно в целях академических исследований и разработки эффективных методов защиты и не предназначено для использования для атак на системы, за исключением случаев явного разрешения. Сопровождающие проекта не несут ответственности за неправомерное использование программного обеспечения. Используйте ответственно.