Coollify GetLogs组件认证RCE漏洞分析(CVE-2024-34599)

漏洞概述 Authenticated Remote Code Execution in GetLogs Livewire Component 漏洞类型: 认证远程代码执行（Authenticated Remote Code Execution） 漏洞描述: 在 GetLogs Livewire 组件中发现了一个认证命令注入漏洞，允许具有团队最低权限（seeder 角色）的用户以 root 身份在托管服务器上执行任意命令。 Livewire 公共属性直接插入到 shell 命令（ 、 ）中，未经过任何清理，并且可以被任何通过 Livewire 协议访问的用户修改，因为它缺少 属性。 漏洞文件: 漏洞代码位置: - 第 38 行（未锁定的公共属性）: - 第 136、143、152、159、203、205、209、211 行（ 直接插入到 shell 命令中，未进行转义）: 漏洞原因: - 属性缺少 属性，允许客户端通过 中的 字段覆盖它。 - 注入的值通过 SSH 传递给托管服务器，使用 和 heredoc，其中换行符（ ）在容器名称中成为单独的命令行。 - 没有进行授权检查，没有调用 或 。 影响范围 受影响版本: Coollify v4.0-beta.470 及更早版本 修复版本: Coollify 4.0.0-beta.471 CVSS v3 基本指标: - 攻击向量: 网络 - 攻击复杂度: 低 - 所需权限: 低 - 用户交互: 无 - 范围: 未改变 - 机密性: 高 - 完整性: 高 - 可用性: 高 CVE ID: CVE-2024-34599 弱点: CWE-78 影响: - 远程代码执行: 在托管服务器上执行任意命令，输出直接返回在 HTTP 响应中 - Root 权限: 所有命令以 root 身份执行，因为 Coollify 的 SSH 执行模型 - 交互式 Webshell: 由于盲注入，命令输出返回在 属性中（Livewire 响应的第 186 行），使攻击者能够通过 HTTP 执行完整的交互式命令 - 缺少授权: 没有 或 检查 - 组件不验证用户是否有权访问目标服务器/资源 - 完整服务器妥协: 访问 SSH 私钥、数据库凭据、应用程序密钥以及托管基础设施上的所有数据 - 横向移动: Coollify 为每个连接的服务器存储 SSH 密钥，使攻击者能够 pivoting 到所有托管主机 修复方案 添加 属性以防止客户端修改容器属性: 在 shell 命令之前验证容器名称，与 一致: 添加授权和服务器所有权验证: POC 代码 1. 登录为低权限团队成员: - 使用低权限团队成员账户登录 Coollify。 2. 切换到具有数据库资源的团队（例如，Root Team）: - 导航到具有数据库资源的团队。 3. 导航到数据库日志页面（例如， ）: - 页面渲染一个名为 的 Livewire 组件，该组件自动调用 通过 SSH 获取容器日志。 - 输出显示在浏览器中。 4. 在 Burp HTTP History 中，找到包含 和 的 请求: - 请求体包含两个组件，第二个是 组件，带有 的快照数据。 - 发送到 Repeater。 5. 在 Burp Repeater 中，修改第二个组件的 JSON 体中的 对象，注入带有换行符分隔命令的 属性，并保持其余部分不变: - 发送请求。服务器响应 HTTP 200。响应 JSON 包含直接在返回的 Livewire 快照的 字段中的 RCE 输出。 6. 在托管服务器上执行的命令: - 每个 在容器名称中成为单独的命令行。 7. 输出: - 输出直接返回在 HTTP 响应中，显示命令执行结果。 通过以上步骤，攻击者可以利用此漏洞在托管服务器上执行任意命令，获取 root 权限，并进一步进行横向移动。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Coollify GetLogs组件认证RCE漏洞分析(CVE-2024-34599)

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Coollify GetLogs组件认证RCE漏洞分析(CVE-2024-34599)

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！