搜索

[1158] 2020-12-09_[翻译]McAfeeePolicyOrchestrator中的漏洞

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-16
2020-12-09_[翻译]McAfeeePolicyOrchestrator中的漏洞 [ 翻 译 ] M c A f e e   e P o l i c y   O r c h e s t r a t o r 中 的 漏 洞 C h a B u g   C h a B u g   2 0 2 0 - 1 2 - 0 9 原 文 链 接 : h t t p s : / / s w a r m . p t s e c u r i t y . c o m / v u l n e r a b i l i t i e s - i n - m c a f e e - e p o l i c y - o r c h e s t r a t o r / 原 文 作 者 : M i k h a i l   K l y u c h n i k o v 今 年 8 月 ， 我 在 M c A f e e   e P o l i c y   O r c h e s t r a t o r （ e P O ） 5 . 1 0 . 0 版 中 发 现 了 三 个 漏 洞 。 M c A f e e   e P O 是 一 款 软 件 ， 可 帮 助 I T 管 理 员 统 一 来 自 M c A f e e 和 第 三 方 解 决 方 案 的 端 点 ， 网 络 ， 数 据 和 合 规 性 解 决 方 案 之 间 的 安 全 管 理 。 M c A f e e   e P O 提 供 了 灵 活 的 自 动 化 管 理 功 能 ， 用 于 识 别 ， 处 理 和 响 应 安 全 问 题 和 威 胁
我 的 测 试 发 现 了 三 个 漏 洞 ： 1 .   C S R F   +   S S R F   +   M I T M ， 如 果 成 功 利 用 ， 则 允 许 未 登 录 的 攻 击 者 在 服 务 器 上 执 行 远 程 代 码 执 行 2 .   Z i p S l i p 攻 击 导 致 登 录 用 户 远 程 执 行 代 码 3 .   反 射 X S S C S R F   +   S S R F   +   M I T M   =   R C E
该 应 用 程 序 包 含 一 个 区 域 ， 管 理 员 可 以 在 其 中 验 证 数 据 库 的 可 用 性 ， 该 数 据 库 随 后 可 以 用 作 主 要 数 据 存 储 。 必 须 发 送 以 下 请 求 以 测 试 连 接 ： 该 请 求 不 包 含 任 何 针 对 C S R F 攻 击 的 保 护 。 到 目 前 为 止 ， 我 们 有 一 个 漏 洞 ， 但 是 它 不 会 影 响 安 全 性 ， 因 为 该 请 求 仅 测 试 连 接 ， 并 且 不 保 存 任 何 恶 意 设 置 。 但 是 请 注 意 如 何 建 立 与 数 据 库 的 测 试 连 接 。 如 果 请 求 仅 指 定 连 接 主 机 和 端 口 ， 则 应 用 程 序 将 使 用 当 前 配 置 （ 包 括 用 户 名 ， 密 码 和 数 据 库 名 称 ） 建 立 与 指 定 服 务 器 的 连 接 。 为 了 演 示 这 一 点 并 查 看 数 据 库 连 接 请 求 中 包 含 的 内 容 ， 我 编 写 了 一 个 简 单 的 P y t h o n 脚 本 。 它 将 所 有 传 入 的 请 求 转 发 到 另 一 个 主 机 （ 实 际 的 e P O 数 据 库 ） ， 并 将 请 求 打 印 到 屏 幕 上 。
要 利 用 此 漏 洞 ， 我 们 需 要 修 改 发 送 到 数 据 库 的 查 询 。 因 此 ， 在 M i T M 脚 本 中 ， 我 们 将 字 符 串 用 替 换 。 如 果 成 功 ， s a 密 码 会 被 改 为 。 S E T   T R A N S A C T I O N   I S O L A T I O N   L E V E L   R E A D   C O M M I T T E D A L T E R   L O G I N   [ s a ]   W I T H   P A S S W O R D = ' P @ s s w 0 r d ' ; ; ; ; P @ s s w 0 r d
现 在 ， 要 利 用 整 个 C S R F   +   S S R F   +   M I T M 链 ， 我 们 只 需 要 创 建 一 个 H T M L 页 面 。
让 我 们 将 漏 洞 付 诸 行 动 。 运 行 M I T M 脚 本 ， 在 e P o l i c y   O r c h e s t r a t o r 管 理 面 板 中 输 入 凭 据 ， 然 后 打 开 我 们 创 建 的 H T M L 页 面 。 如 果 一 切 都 正 确 完 成 ， 我 们 可 以 使 用 凭 据 S A : P @ s s w 0 r d 连 接 到 数 据 库 。 结 果 如 下 ： 成 功 连 接 到 数 据 库 后 ， 我 们 可 以 运 行 任 意 系 统 命 令 。 总 之 ， 攻 击 包 括 五 个 部 分 ： 1 .   管 理 员 打 开 一 个 恶 意 H T M L 页 面 。 2 .   冒 充 管 理 员 的 P O S T 请 求 发 送 到 / c o r e / c o n f i g ， 这 导 致 目 标 服 务 器 连 接 到 M I T M 服 务 器 。 3 .   M I T M 服 务 器 代 理 到 S Q L   S e r v e r 的 所 有 流 量 （ 它 应 该 可 以 从 外 部 访 问 ） ， 并 注 入 一 个 S Q L 查 询 来 更 改 用 户 S A 的 密 码 。 4 .   攻 击 者 使 用 S A 用 户 名 和 新 设 置 的 密 码 连 接 到 S Q L   S e r v e r 。 5 .   攻 击 者 现 在 可 以 运 行 任 意 服 务 器 命 令 。 供 应 商 回 复 ： “ M c A f e e 已 经 查 看 了 代 码 库 ， 我 们 相 信 此 问 题 已 在 2 0 1 9 年 1 1 月 1 2 日 发 布 的 累 积 更 新 （ C U ） 5 中 得 到 解 决 。 ” 登 录 后 的 登 录 后 的 R C E 我 在 软 件 扩 展 组 件 ( / c o r e / o r i o n N a v i g a t i o n L o g i n . d o # / c o r e / o r i o n T a b . d o ? s e c t i o n I d = o r i o n . s o f t w a r e & t a b I d = o r i o n . e x t e n s i o n s ) 中 发 现 了 该 漏 洞 ， 该 漏 洞 仅 由 经 过 身 份 验 证 的 用 户 访 问 。
该 页 面 提 示 上 传 扩 展 名 ， 该 扩 展 名 应 该 是 Z I P 格 式 的 文 件 。 我 不 知 道 应 用 程 序 将 档 案 识 别 为 真 正 的 扩 展 所 必 需 的 档 案 结 构 ， 因 此 在 这 一 点 上 ， 我 没 有 尝 试 上 传 任 何 恶 意 扩 展 。 但 是 在 测 试 过 程 中 遇 到 存 档 上 传 功 能 时 ， 我 总 是 检 查 Z i p S l i p 漏 洞 。 Z i p S l i p 漏 洞 是 一 种 路 径 遍 历 类 型 ， 如 果 未 正 确 清 理 打 包 文 件 的 名 称 ， 则 在 解 压 缩 归 档 文 件 时 会 发 生 此 漏 洞 。 攻 击 者 可 以 创 建 名 字 中 包 含 " . . / " 的 文 件 ， 从 而 有 可 能 在 档 案 提 取 过 程 中 将 任 意 文 件 上 传 到 任 意 目 录 或 覆 盖 现 有 文 件 。 为 了 检 查 这 种 漏 洞 ， 我 们 将 使 用 e v i l a r c 生 成 包 含 f i l e 的 档 案 . . / t e s t . t x t 。 然 后 将 生 成 的 Z I P 存 档 作 为 扩 展 名 上 传 ， 并 尝 试 在 文 件 系 统 中 找 到 它 。
我 们 可 以 看 到 测 试 文 件 位 于 文 件 夹 中 D : P r o g r a m   F i l e s M c A f e e S e r v e r e x t e n s i o n s t m p 。 W e b 服 务 器 的 根 文 件 夹 是 D : P r o g r a m   F i l e s M c A f e e S e r v e r w e b a p p s R O O T ， 因 此 现 在 我 们 知 道 生 成 包 含 W e b   S h e l l （ s t a t . j s p ） 的 存 档 所 需 的 相 对 路 径 ， 该 存 档 将 通 过 Z i p S l i p 提 取 到 服 务 器 的 W e b 根 文 件 夹 中 ： 上 载 J S P   s h e l l 时 ， 我 们 使 用 U n i c o d e 对 其 进 行 编 码 ， 以 便 W i n d o w s   D e f e n d e r 不 会 将 其 删 除 。 现 在 ， 只 需 上 传 P o C . z i p 作 为 扩 展 名 ， 然 后 检 查 运 行 中 的 W e b   S h e l l 。
结 果 是 我 们 可 以 运 行 任 意 O S 命 令 。 供 应 商 回 复 ： “ 我 们 不 认 为 这 是 R C E ， 因 为 允 许 e P O 用 户 界 面 中 的 管 理 员 为 其 产 品 安 装 扩 展 。 M c A f e e 当 前 认 为 ， 当 e P O 管 理 员 安 装 扩 展 程 序 时 ， 您 所 描 述 的 方 案 可 以 按 预 期 工 作 。 ” R e f l e c t e d   X S S 为 了 进 行 利 用 ， 只 需 转 到 地 址 ， 作 为 概 念 证 明 ， 您 将 看 到 一 个 包 含 d o c u m e n t . d o m a i n 值 的 弹 出 窗 口 。 供 应 商 回 复 ： “ 再 次 感 谢 您 抽 出 宝 贵 时 间 向 M c A f e e 报 告 此 问 题 。 C V E - 2 0 2 0 - 7 3 1 8 已 分 配 。 ” / P o l i c y M g m t / p o l i c y D e t a i l s C a r d . d o ? p o I D = 1 9 & t y p e I D = 3 & p r o d I D = % 2 7 % 2 2 % 3 E % 3 C s v g % 2 f o n l o a d % 3 d a l e r t ( d o c u m e n t . d o m a i n ) % 3 E
译 者 总 结 译 者 总 结 1 .   C S R F 诱 使 管 理 员 修 改 数 据 库 密 码   x p _ c m d s h e l l   R C E ， 可 能 导 致 e d r 崩 溃 。 2 .   z i p 解 压 目 录 穿 越 g e t s h e l l ， 需 要 登 录 的 R C E 。 3 .   反 射 X S S 分 享 、 点 赞 、 在 看 就 是 对 我 们 的 一 种 支 持 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理