搜索

[29111] 2021-08-06_【漏洞分析】RCE通过不受控制的档案提取–CVE-2021-22937（补丁绕过）

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2021-08-06_【漏洞分析】RCE通过不受控制的档案提取–CVE-2021-22937（补丁绕过） 【 漏 洞 分 析 】 R C E   通 过 不 受 控 制 的 档 案 提 取   –   C V E - 2 0 2 1 - 2 2 9 3 7 （ 补 丁 绕 过 ） O t s 安 全   2 0 2 1 - 0 8 - 0 6 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 概 括 概 括 P u l s e   C o n n e c t   S e c u r e   设 备 存 在 不 受 控 制 的 存 档 提 取 漏 洞 ， 该 漏 洞 允 许 攻 击 者 覆 盖 任 意 文 件 ， 导 致 以   r o o t   身 份 远 程 执 行 代 码 。 此 漏 洞 是 对 C V E - 2 0 2 0 - 8 2 6 0 补 丁 的 绕 过 。 影 响 影 响 成 功 利 用 此 问 题 可 在 具 有   r o o t   权 限 的 底 层 操 作 系 统 上 远 程 执 行 代 码 。 拥 有 此 类 访 问 权 限 的 攻 击 者 将 能 够 绕 过 通 过   W e b   应 用 程 序 实 施 的 任 何 限 制 ， 并 重 新 安 装 文 件 系 统 ， 从 而 允 许 他 们 创 建 持 久 性 后 门 、 提 取 和 解 密 凭 据 、 破 坏   V P N   客 户 端 或 进 入 内 部 网 络 。 细 节 细 节 P u l s e   C o n n e c t   S e c u r e   设 备 存 在 不 受 控 制 的 存 档 提 取 漏 洞 ， 该 漏 洞 允 许 攻 击 者 在 / h o m e / r u n t i m e / t m p / t t / 目 录 中 写 入 可 执 行 文 件 ， 从 而 导 致 远 程 执 行 代 码 。 P C S   允 许 管 理 用 户 导 入 存 档 配 置 。 这 些 配 置 使 用   G Z I P   压 缩 并 使 用 硬 编 码 密 钥 加 密 ， 允 许 攻 击 者 加 密 和 解 密 他 们 自 己 制 作 的 存 档 文 件 。 当 通 过 管 理   G U I   导 入 这 些 档 案 时 ， 会 以 不 安 全 的 方 式 进 行 提 取 ， 从 而 导 致 任 意 文 件 （ 覆 盖 ） 写 入 。 虽 然 通 过 向 提 取 的 文 件 添 加 验 证 来 修 补 此 问 题 ， 但 此 验 证 不 适 用 于 具 有 “ 分 析 器 ” 类 型 的 档 案 。 因 此 ， 只 需 修 改 原 有 的 C V E - 2 0 2 0 - 8 2 6 0 漏 洞 利 用 ， 将 归 档 类 型 改 为 “ p r o f i l e r ” ， 即 可 绕 过 补 丁 ， 实 现 代 码 执 行 。 根 本 原 因 分 析 根 本 原 因 分 析 2 0 2 0   年   1 0   月 ， P u l s e   S e c u r e   发 布 了   P C S   版 本 9 . 1 R 9 ， 修 复 了   C V E - 2 0 2 0 - 8 2 6 0   漏 洞 。 该 补 丁 添 加 了 一 个 名 为   的 新 函 数 D S C o n f i g : : v a l i d a t e T a r F i l e 。 当 通 过   导 入 档 案 时 D S C o n f i g : : i m p o r t C o n f i g I m p l ， 使 用 该 t a r   - t v f 命 令 列 出 上 传 的 配 置 档 案 的 内 容 ， 并 将 其 放 入 名 为 / t m p / f i l e l i s t .   v a l i d a t e T a r F i l e 然 后 调 用 该 函 数 ， 提 供 安 全 文 件 列 表 ， 这 些 文 件 应 该 在 上 传 的 存 档 中 。 V e n d o r :   I v a n t i   P u l s e   S e c u r e V e n d o r   U R L :   h t t p s : / / w w w . p u l s e s e c u r e . n e t / V e r s i o n s   a f f e c t e d :   P u l s e   C o n n e c t   S e c u r e   ( P C S )   9 . 1 1 R 1 1 . 5   o r   b e l o w S y s t e m s   A f f e c t e d :   P u l s e   C o n n e c t   S e c u r e   ( P C S )   A p p l i a n c e s A u t h o r :   R i c h a r d   W a r r e n   < r i c h a r d . w a r r e n [ a t ] n c c g r o u p [ d o t ] t r u s t > A d v i s o r y   U R L :   h t t p s : / / k b . p u l s e s e c u r e . n e t / a r t i c l e s / P u l s e _ S e c u r i t y _ A d v i s o r i e s / S A 4 4 8 5 8 C V E   I d e n t i f i e r :   C V E - 2 0 2 1 - 2 2 9 3 7 R i s k :   7 . 2   C V S S : 3 . 0 / A V : N / A C : L / P R : H / U I : N / S : U / C : H / I : H / A : H
该 v a l i d a t e T a r F i l e 函 数 解 析   中 的 输 出 / t m p / f i l e l i s t ， 并 确 保 ： 存 档 不 包 含 任 何 符 号 链 接 或 硬 链 接 。 存 档 只 包 含 预 期 的 文 件 . . / 名 称 中 不 包 含 任 何 文 件 。 此 添 加 的 检 查 可 防 止 利 用   C V E - 2 0 2 0 - 8 2 6 0 。 2 0 2 1   年   5   月 ， I v a n t i   发 布 了   P C S   版 本 9 . 1 R 1 1 . 4 ， 该 版 本 解 决 了 许 多 被 广 泛 利 用 的 漏 洞 。 根 据 发 行 说 明 ， 还 解 决 了 一 个 与   C V E - 2 0 2 0 - 8 2 6 0   非 常 相 似 的 漏 洞 ： 比 较   P C S   版 本   9 . 1 R 1 0   和   9 . 1 R 1 1 . 4 ， 我 们 可 以 看 到 D S C o n f i g : : c h e c k T a r S a f e 对 许 多   C G I   文 件 的 调 用 ：
此 附 加 验 证 已 添 加 到 以 下   C G I ： / d a n a - a d m i n / c e r t / c l i e n t a u t h c e r t . c g i / d a n a - a d m i n / c e r t / a d m i n c e r t . c g i / d a n a - a d m i n / m o b i l e / s m i m e C e r t . c g i 就 像   c h e c k   i n   一 样 D S C o n f i g : : i m p o r t C o n f i g I m p l ， 该 c h e c k T a r S a f e 函 数 首 先 列 出 上 传 档 案 中 的 文 件 ， 然 后 再 调 用 v a l i d a t e T a r F i l e 由 此 我 们 可 以 确 定   C V E - 2 0 2 0 - 2 2 9 0 0   是   C V E - 2 0 2 0 - 8 2 6 0   的 变 体 。 通 过 将 原 始 漏 洞 更 改 为   P O S T   到 这 些   C G I   文 件 ， 我 们 可 以 在   P C S   <   9 . 1 R 1 1 . 4 上 实 现 代 码 执 行 。 由 于 导 入 特 征 中 存 在 这 些 变 体 ， 我 们 认 为 最 好 进 行 进 一 步 的 变 体 和 补 丁 分 析 ， 看 看 是 否 仍 有 可 能 在 其 他 地 方 利 用 提 取 漏 洞 。
查 看   中 的 代 码 i m p o r t . c g i ， 我 们 可 以 看 到 配 置 导 入 是 通 过   处 理 的 D S C o n f i g : : i m p o r t C o n f i g ， 它 传 递 了 上 传 的 文 件 路 径 和 其 他 一 些 选 项 ， 包 括 存 档 类 型 ： 在   中 i m p o r t C o n f i g ， 我 们 可 以 看 到 它 要 么 调 用 i m p o r t C o n f i g I m p l ， 要 么 调 用 i m p o r t P r o f i l e r D a t a b a s e ， 具 体 取 决 于 用 户 提 供 的 存 档 类 型 ： 如 前 所 述 ， i m p o r t C o n f i g I m p l 包 含 对   的 调 用 v a l i d a t e T a r F i l e ， 但 i m p o r t P r o f i l e r D a t a b a s e 在 t a r   - C 执 行 命 令 之 前 不 包 含 此 检 查 ： 因 此 ， 通 过 将 上 传 的 存 档 类 型 更 改 为 “ 分 析 器 ” ， 可 以 绕 过   C V E - 2 0 2 0 - 8 2 6 0   的 补 丁 。 概 念 证 明 概 念 证 明 开 发 了 概 念 证 明 以 实 现 作 为   r o o t   用 户 的 远 程 代 码 执 行 ， 只 需 更 改 原 始   C V E - 2 0 2 0 - 8 2 6 0   漏 洞 利 用 中 的 单 个   P O S T   参 数 变 量 即 可 。
推 荐 推 荐 升 级 到   P u l s e   C o n n e c t   S e c u r e   ( P C S )   9 . 1 R 1 2   或 更 高 版 本 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理