auto-cve-2022-44268

Автоматизация эксплуатации CVE-2022-44268 — произвольное чтение файлов в ImageMagick

Первоначальное исследование: https://www.metabaseq.com/imagemagick-zero-days/

Репозиторий PoC: https://github.com/duc-nt/CVE-2022-44268-ImageMagick-Arbitrary-File-Read-PoC

Описание

ImageMagick интерпретирует текстовую строку «profile» как имя файла и загружает содержимое в качестве raw-профиля, после чего атакующий может скачать изменённое изображение, которое будет содержать содержимое удалённого файла.

Краткое описание уязвимости и эксплуатации

🔴 Возьмите PNG-файл, добавьте путь к файлу в EXIF-поле «profile», отправьте его на сайт, использующий уязвимую версию ImageMagick; он интерпретирует путь к файлу, загружает его содержимое в EXIF-поле, вы скачиваете изображение, извлекаете HEX-данные из поля «Raw Profile Type» и конвертируете их в ASCII, чтобы прочитать удалённый файл.

Затронутые версии: ImageMagick 7.1.0-49

Требования

sudo apt install pngcrush imagemagick exiftool exiv2 -y

Использование

wget https://github.com/narekkay/auto-cve-2022-44268.sh/releases/download/auto-cve-2022-44268.sh/auto-cve-2022-44268.sh
wget https://github.com/narekkay/auto-cve-2022-44268.sh/releases/download/auto-cve-2022-44268.sh/flag.png
chmod +x auto-cve-2022-44268.sh
./auto-cve-2022-44268.sh <image name> <file to read>

Пример

./auto-cve-2022-44268.sh flag.png /etc/passwd

Демонстрация

https://github.com/narekkay/autoexploit-cve-2022-44268/assets/24856100/cd5719e5-6eae-4544-b4dc-719b1182018d

Советы по перечислению

Как только вы получите пользователей из /etc/passwd, попробуйте перечислить приватные SSH-ключи из /home/.ssh//:

id_rsa
id_ecdsa
id_ed25519 например, /home/john/.ssh/id_ed25519

Не забывайте:

конфигурационные файлы известных CMS, например wp-config.php для WordPress,
перечисление виртуальных хостов, например /etc/apache2/sites-available/000-default.conf,
или .env-файлы для экземпляров приложений

auto-cve-2022-44268.sh

Популярное