搜索

[2090] 2018-12-20_Elasticsearch核心插件Kibana本地文件包含漏洞分析（CVE-2018-17246）

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2018-12-20_Elasticsearch核心插件Kibana本地文件包含漏洞分析（CVE-2018-17246） E l a s t i c s e a r c h   核 心 插 件 K i b a n a   本 地 文 件 包 含 漏 洞 分 析 （ C V E - 2 0 1 8 - 1 7 2 4 6 ） I v a n 1 e e   d o t N e t 安 全 研 究 僧   2 0 1 8 - 1 2 - 2 0 不 久 前 E l a s t i c s e a r c h 发 布 了 最 新 安 全 公 告 ，   E l a s t i c s e a r c h   K i b a n a 6 . 4 . 3 之 前 版 本 和 5 . 6 . 1 3 之 前 版 本 中 的 C o n s o l e 插 件 存 在 严 重 的 本 地 文 件 包 含 漏 洞 可 导 致 拒 绝 服 务 攻 击 、 任 意 文 件 读 取 攻 击 、 配 合 第 三 方 应 用 反 弹 S H E L L 攻 击 ， 下 文 笔 者 对 其 漏 洞 背 景 、 攻 击 原 理 和 行 为 进 行 分 析 和 复 现 。 0 X 0 1   影 响 范 围 影 响 范 围 E l a s t i c s e a r c h   K i b a n a 是 荷 兰 E l a s t i c s e a r c h 公 司 的 一 套 开 源 的 、 基 于 浏 览 器 的 分 析 和 搜 索 E l a s t i c s e a r c h 仪 表 板 工 具 ， 作 为 E l a s t i c s e a r c h 的 核 心 组 件 ， K i b a n a 可 作 为 产 品 或 服 务 提 供 ， 并 与 各 种 系 统 ， 产 品 ， 网 站 和 企 业 中 的 其 他 E l a s t i c   S t a c k 产 品 配 合 使 用 。 由 于 K i b a n a 在 大 数 据 领 域 用 途 较 为 广 泛 ， 此 次 漏 洞 影 响 范 围 较 大 ， S h o d a n 搜 索 结 果 如 图 0 x 0 2   漏 洞 场 景 漏 洞 场 景 笔 者 选 择 K i b a n a - 6 . 1 . 1 - l i n u x - x 8 6 _ 6 4 . t a r . g z 版 本 ， 搭 建 过 程 不 表 ， 网 上 很 多 参 考 资 料 2 . 1 、 拒 绝 服 务 、 拒 绝 服 务 拒 绝 服 务 笔 者 选 择 / c l i _ p l u g i n / i n d e x . j s 演 示 ， 攻 击 向 量 如 下 G E T 请 求 发 出 去 后 客 户 端 打 不 开 应 用 页 面 ， 在 服 务 端 K i b a n a 进 程 退 出 ， 应 用 服 务 挂 掉 具 体 看 下 图
2 . 2 、 任 意 文 件 读 取 、 任 意 文 件 读 取 文 件 读 取 笔 者 选 择 / e t c / p a s s w d 演 示 ， 攻 击 向 量 如 下 G E T 请 求 发 出 去 后 客 户 端 页 面 会 抛 出 5 0 0 错 误 ， 在 服 务 端 会 将 读 取 到 的 p a s s w d 内 容 抛 出 来 ， 具 体 看 下 图 2 . 3 、 配 合 第 三 方 应 用 、 配 合 第 三 方 应 用 通 常 情 况 下 K i b a n a 与 其 他 的 应 用 程 序 一 起 部 署 ， 如 果 应 用 程 序 可 以 上 传 或 者 写 入 J a v a s c r i p t 文 件 的 话 ， 攻 击 者 可 以 通 过 N o d e j s 创 建 一 个 R e v e r s e   S h e l l ， 内 容 如 下
路 径 遍 历 允 许 攻 击 者 访 问 K i b a n a 服 务 器 任 何 文 件 的 位 置 ， 如 下 N c 反 弹 监 听 得 到 交 互 会 话 0 X 0 3   漏 洞 分 析 漏 洞 分 析 漏 洞 污 染 点 位 于 s r c c o r e _ p l u g i n s c o n s o l e a p i _ s e r v e r s e r v e r . j s A p i s 得 到 的 值 传 递 给 赋 值 参 数 n a m e ， 从 图 上 也 能 看 到 n a m e 变 量 的 内 容 没 有 进 行 任 何 过 滤 被 引 入 到 r e q u i r e ， 而 r e q u i r e 模 块 在 N o d e j s 里 表 示 加 载 模 块 的 方 式 ， 可 以 加 载 核 心 模 块 ， 例 如 内 置 的 “ h t t p ” ， 也 可 以 是 包 含 名 为 “ i n d e x . j s ” 这 样 的 文 件 或 目 录 如 果 参 数 以 “ / ” 、 “ . / ” 、 ” . . / ” 开 头 则 函 数 知 道 该 模 块 是 文 件 或 者 文 件 夹 ， 继 续 跟 进 到 函 数 a s J s o n 所 在 的 a p i . j s 文 件 中
在 同 级 目 录 下 E S _ 5 _ 0 . j s   中 有 一 个 这 个 类 的 导 出 实 例 总 结 一 下 此 函 数 的 正 常 流 程 是 获 取 导 出 A P I 类 实 例 并 调 用 函 数 a s J s o n 的 J a v a S c r i p t 文 件 的 名 称 ， 但 是 忽 略 了 过 滤 验 证 因 此 我 们 可 以 指 定 任 意 文 件 ， 配 合 目 录 跳 转 遍 历 就 可 以 实 现 K i b a n a 服 务 器 上 任 意 文 件 读 取 的 操 作 。 基 于 上 述 的 分 析 很 明 显 N o d e j s 应 用 程 序 需 要 大 量 的 文 件 ， 如 果 这 些 文 件 里 包 含 了 p r o c e s s . e x i t 指 令 ， 那 么 就 可 能 关 闭 K i b a n a 进 程 并 导 致 拒 绝 服 务 攻 击 ， 通 过 搜 索 找 到 了 三 个 可 能 的 攻 击 向 量 0 x 0 4   一 点 总 结 一 点 总 结   L F I 通 常 出 现 在 P H P 应 用 中 ， 通 样 是 r e q u i r e 这 次 应 用 在 N o d e j s 程 序 中 ， 相 信 未 来 还 会 有 更 多 的 N o d e j s 程 序 存 在 这 种 问 题 ， 原 因 是 本 地 包 含 漏 洞 出 现 了 很 多 年 ， 但 依 旧 有 很 多 软 件 开 发 人 员 和 架 构 师 没 有 考 虑 到 这 点 ， 这 篇 文 章 很 好 的 说 明 了 K i b a n a 中 存 在 的 一 个 关 键 L F I 漏 洞 ， 使 得 攻 击 者 能 够 在 服 务 器 上 运 行 本 地 代 码 ， 可 造 成 直 接 的 危 害 就 是 拒 绝 服 务 攻 击 ， 若 在 生 产 环 境 下 业 务 实 在 伤 不 起 ， 需 要 引 起 对 N o d e j s   L F I 的 重 视 。
0 x 0 5 参 考 链 接 参 考 链 接   h t t p s : / / g i t h u b . c o m / a p p s e c c o / v u l n e r a b l e - a p p s / t r e e / m a s t e r / n o d e - r e v e r s e - s h e l l h t t p s : / / w w w . e l a s t i c . c o / d o w n l o a d s / k i b a n a h t t p : / / w w w . c n v d . o r g . c n / f l a w / s h o w / C N V D - 2 0 1 8 - 2 3 9 0 7 h t t p : / / c v e . m i t r e . o r g / c g i - b i n / c v e n a m e . c g i ? n a m e = C V E - 2 0 1 8 - 1 7 2 4 6
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理