搜索

[13287] 2018-10-11_西部数据MyCloud存储设备被曝可提权认证绕过漏洞

文档创建者：s7ckTeam
浏览次数：50
最后更新：2025-01-18
2018-10-11_西部数据MyCloud存储设备被曝可提权认证绕过漏洞 西 部 数 据 M y   C l o u d 存 储 设 备 被 曝 可 提 权 认 证 绕 过 漏 洞 c l o u d s   F r e e B u f   2 0 1 8 - 1 0 - 1 1 近 期 ， 网 络 设 备 漏 近 期 ， 网 络 设 备 漏 洞 研 究 团 队 洞 研 究 团 队 e x p l o i t e e . r s 公 布 ， 西 部 数 据 公 布 ， 西 部 数 据   M y   C l o u d   网 络 存 储 设 备 存 在 一 个 认 证 绕 过 漏 洞 （ 网 络 存 储 设 备 存 在 一 个 认 证 绕 过 漏 洞 （   C V E - 2 0 1 8 - 1 7 1 5 3 ） ， 未 授 权 的 远 程 或 本 地 网 络 攻 击 者 可 以 利 用 该 漏 洞 ， 无 需 密 码 就 能 提 权 成 为 ） ， 未 授 权 的 远 程 或 本 地 网 络 攻 击 者 可 以 利 用 该 漏 洞 ， 无 需 密 码 就 能 提 权 成 为 a d m i n 管 理 员 身 份 ， 获 取 对 管 理 员 身 份 ， 获 取 对 M y   C l o u d 设 备 的 完 全 控 制 权 。 设 备 的 完 全 控 制 权 。   漏 洞 介 绍 漏 洞 介 绍 该 漏 洞 能 可 使 得 未 授 权 用 户 能 创 建 与 其 I P 地 址 相 关 联 的 管 理 员 会 话 ， 然 后 进 一 步 利 用 ， 可 以 实 现 管 理 员 特 权 命 令 执 行 ， 获 取 对 M y   C l o u d   存 储 设 备 的 控 制 。 该 漏 洞 是 研 究 者 通 过 逆 向 C G I 二 进 制 文 件 时 发 现 的 。 当 M y   C l o u d 设 备 管 理 员 授 权 认 证 登 录 后 ， 会 产 生 一 个 与 其 I P 地 址 关 联 的 相 应 的 服 务 端 （   s e r v e r - s i d e ） 会 话 ， 然 后 该 会 话 会 在 H T T P 请 求 中 以 发 送 u s e r n a m e = a d m i n 的 c o o k i e 形 式 去 调 用 验 证 性 C G I 模 块 ， 接 着 ， 被 调 用 的 验 证 性 C G I 模 块 需 要 对 当 前 与 用 户 I P 关 联 的 会 话 有 效 性 进 行 检 查 校 验 。 未 授 权 的 攻 击 者 可 以 创 建 一 个 不 需 验 证 的 有 效 会 话 ， 被 调 用 的 n e t w o r k _ m g r . c g i   C G I 模 块 中 包 含 了 一 个 名 为 c g i _ g e t _ i p v 6   的 命 令 ， 当 C G I 模 块 被 调 用 时 ， 其 参 数 标 志 为 1 时 ， 该 命 令 会 启 动 一 个 与 用 户 I P 绑 定 关 联 的 管 理 员 会 话 。 通 常 来 说 ， 一 些 后 续 命 令 的 调 用 执 行 需 要 管 理 员 权 限 ， 但 如 果 攻 击 者 把 c o o k i e 中 的 u s e r n a m e 设 置 为 a d m i n ， 也 就 是 u s e r n a m e = a d m i n 之 后 ， 则 该 会 话 就 相 当 于 管 理 员 权 限 ， 间 接 绕 过 了 验 证 授 权 限 制 。 存 在 漏 洞 的 存 在 漏 洞 的 M y   C l o u d 版 本 版 本 e x p l o i t e e 研 究 人 员 分 析 ， 该 漏 洞 目 前 可 以 成 功 在 固 件 版 本 为 2 . 3 0 . 1 7 2 ， 型 号 为 W D B C T L 0 0 2 0 H W T 的   M y   C l o u d   存 储 设 备 上 复 现 ， 主 要 影 响 固 件 版 本 为 2 . 3 0 . x x x 的 设 备 ， 由 于   M y   C l o u d   的 多 个 系 列 设 备 开 发 代 码 都 大 同 小 异 ， 因 此 ， 其 它 型 号 的 设 备 也 非 常 可 能 存 在 该 漏 洞 。 可 能 存 在 漏 洞 的 型 号 和 对 应 固 件 版 本 设 备 为 ： M y   C l o u d   F W   2 . 3 0 . 1 9 6 M y   C l o u d   M i r r o r   G e n 2   F W   2 . 3 0 . 1 9 6 M y   C l o u d   E X 2   U l t r a   F W   2 . 3 0 . 1 9 6 M y   C l o u d   E X 2 1 0 0   F W   2 . 3 0 . 1 9 6
M y   C l o u d   E X 4 1 0 0   F W   2 . 3 0 . 1 9 6 M y   C l o u d   D L 2 1 0 0   F W   2 . 3 0 . 1 9 6 M y   C l o u d   D L 4 1 0 0   F W   2 . 3 0 . 1 9 6 M y   C l o u d   P R 2 1 0 0   F W   2 . 3 0 . 1 9 6 M y   C l o u d   P R 4 1 0 0   F W   2 . 3 0 . 1 9 6 漏 洞 利 用 漏 洞 利 用 P O C 首 先 ， 攻 击 者 需 要 在 P O S T 请 求 中 把 自 己 的 I P 地 址 和 会 话 关 联 ； 之 后 ， 设 置 u s e r n a m e = a d m i n 和 c m d = c g i _ g e t _ i p v 6 & f l a g = 1 ： 接 下 来 ， 请 求 需 要 管 理 员 权 限 的 M y   C l o u d 服 务 端 ， 如 c g i _ g e t _ s s h _ p w _ s t a t u s ； 把 以 上 c o o k i e 信 息 设 置 在 浏 览 器 中 ， 执 行 服 务 端 请 求 之 后 ， 可 以 发 现 已 经 具 备 管 理 员 权 限 。 如 下 图 所 示 ： 最 新 的 M e t a s p l o i t 漏 洞 利 用 模 块   -   h t t p s : / / p a s t e c r y . p t / d U H B 3 e # P e w M u k % 3 A U t 2 E k 3 B e e 4 R e j 2 S y z 5 M e k 有 安 全 研 究 者 向 记 者 透 露 ， 还 可 以 通 过 恶 意 广 告 形 式 （ m a l v e r t i s i n g   c a m p a i g n s ） ， 用 跨 站 漏 洞 技 巧 去 入 侵 M y   C l o u d   的 N A S 网 络 存 储 设 备 ， 这 种 方 式 还 能 入 侵 那 些 不 联 网 的 M y   C l o u d 设 备 。 该 漏 洞 被 发 现 的 前 后 该 漏 洞 被 发 现 的 前 后 据 悉 ， 该 漏 洞 问 题 其 实 早 在 2 0 1 7 年 4 月 9 日 就 被 安 全 团 队 e x p l o i t e e . r s 在 去 年 D e f   C o n 上 的 设 备 漏 洞 集 锦 《 A l l   Y o u r   T h i n g s A r e   B e l o n g   T o   U s ! 》 中 披 露 过 ， 但 当 e x p l o i t e e 向 西 部 数 据 反 馈 后 ， 西 部 数 据 却 拒 绝 承 认 和 修 复 该 漏 洞 ， 因 此 ， 毫 无 办 法 的 e x p l o i t e e 团 队 只 好 在 今 年 8 月 编 写 出 了 漏 洞 利 用 的 M e t a s p l o i t 模 块 ， 并 以 对 外 公 布 了 该 漏 洞 。 2 0 1 7 . 4 . 9   e x p l o i t e e 团 队 发 现 漏 洞 2 0 1 7 . 4 . 1 0   e x p l o i t e e 团 队 向 西 部 数 据 上 报 该 漏 洞 … … 没 有 下 文 … . 2 0 1 8 . 9 . 1 7   e x p l o i t e e 团 队 向 C V E 请 求 公 布 漏 洞 2 0 1 8 . 9 . 1 8   C V E 官 方 给 定 漏 洞 编 号 C V E - 2 0 1 8 - 1 7 1 5 3 2 0 1 8 . 9 . 1 8   e x p l o i t e e 团 队 公 布 漏 洞 细 节 而 据 了 解 ， 该 漏 洞 在 去 年 也 被 S e c u r i f y 公 司 研 究 员 R e m c o   V e r m e u l e n 上 报 过 ， 但 西 部 数 据 最 终 也 并 未 成 功 修 复 。
后 续 后 续 截 至 发 稿 前 ， 记 者 发 现 ， 目 前 有 1 , 8 7 0 个 曝 露 互 联 网 的 西 部 数 据 M y   C l o u d 设 备 ， 其 中 大 多 数 处 于 欧 洲 ， 而 且 这 个 数 据 还 在 不 断 增 加 。 2 0 1 8 . 9 . 1 8   1 6 : 3 1   西 部 数 据 在 T w i t t e r 声 称 已 经 在 着 手 制 作 针 对 C V E - 2 0 1 8 - 1 7 1 5 3 的 固 件 更 新 2 0 1 8 . 9 . 1 8   西 部 数 据 针 对 C V E - 2 0 1 8 - 1 7 1 5 3 释 出 了 补 丁 更 新 * 参 考 来 源 ： s e c u r i f y   /   b l e e p i n g c o m p u t e r ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理