teamcity-idea-cve-2020-35667-poc

Перехват учетных данных плагина TeamCity для IntelliJ IDEA (CVE-2020-35667)

Быстрые ссылки

Отчет PoC | Анализ рабочего процесса | Серверный скрипт

Описание

Это воспроизведение CVE-2020-35667 путем создания поддельной XML-RPC точки TeamCity.
CVE-2020-35667 — это SSRF-уязвимость в плагине JetBrains TeamCity для IntelliJ IDE.
Старый плагин TeamCity IntelliJ запрашивает открытый ключ с сервера, шифрует им пароль и отправляет его обратно.
Поскольку сервер контролируется атакующим, злоумышленник расшифровывает и логирует учетные данные в открытом виде.

Уязвимость была сообщена Джонатаном Лейтшухом (https://blog.jetbrains.com/blog/2021/02/03/jetbrains-security-bulletin-q4-2020/).

Воздействие эксплуатации этой уязвимости — Перехват учетных данных пользователя в открытом виде в процессе входа в плагин через контролируемую атакующим XML-RPC точку.

Среда воспроизведения

Это моя настройка для воспроизведения проблемы:

• IntelliJ IDEA Community Edition 2018.1.8

  • https://www.jetbrains.com/idea/download/other.html

• TeamCity 2020.2.1 (сборка 85633)

  • https://www.jetbrains.com/help/teamcity/previous-releases-downloads.html#TeamCity+2020.2.1

• Уязвимый плагин TeamCity IntelliJ

  • Скачать через UI панели управления TeamCity после запуска TeamCity
  • Имя файла плагина .zip: TeamCity-IDEAplugin.zip;
  • SHA256 хеш: 98aaaea4276f718c6c9cf3cb5383da1be6af9daa29e5b17fda8fa70d6bc1342f

• ОС: Windows 10

• Версия Python: 3.12.7

• Требования Python находятся в cve2020-35667/requirements.txt

Быстрый старт

pip install -r requirements.txt
python poc_server.py
# Server listens on http://127.0.0.1:8888

1. В IntelliJ установите или включите старый плагин TeamCity.
2. В меню IntelliJ: TeamCity -> Login -> Server URL: http://127.0.0.1:8888.
3. Введите тестовое имя пользователя и пароль и нажмите Connect.

Ожидаемый результат (уязвимый): Учетные данные пользователя логируются на серверной консоли.

Ожидаемое поведение, если защищено: Клиент проверяет идентификацию сервера и подлинность ключа, учетные данные не раскрываются поддельному endpoint.

Ссылки

• https://www.cvedetails.com/cve/CVE-2020-35667/
• https://www.cvedetails.com/version-search.php?cpeMatchCriteriaId=3e994ed2-05fc-4b08-a580-fda3748d8e26
• https://www.cvedetails.com/version/1136868/Jetbrains-Teamcity-2020.2.1.html
• https://www.cvedetails.com/metasploit-modules/version-1136868/Jetbrains-Teamcity-2020.2.1.html
• https://www.cve.org/CVERecord?id=CVE-2020-35667
• https://nvd.nist.gov/vuln/detail/CVE-2020-35667
• https://cwe.mitre.org/data/definitions/918.html
• https://blog.jetbrains.com/blog/2021/02/03/jetbrains-security-bulletin-q4-2020/
• https://www.jetbrains.com/teamcity/
• https://www.youtube.com/watch?v=zqi4fDF-S60
• https://x-stream.github.io/tutorial.html
• https://en.wikipedia.org/wiki/XML-RPC