趣味の範囲でサイバーセキュリティの話この広告は、90日以上更新していないブログに表示しています。脆弱性(CVE-2018-2894)について検証7月のOracleの定期のパッチリリースでいくつか脆弱性の修正が入りました。2018危険度の高い脆弱性として、以下の2つがあり、いずれも攻撃コードが公開されています。脆弱性でT3プロトコルを利用してネットワーク経由でコード実行ができます。T3プロトコルはこれまでいくつかリモートからのコード実行の脆弱性が見つかっており、運用しているシステムでは無効化しておくのが無難かと思います。Servicesの脆弱性。2017年10月に公開された脆弱性(CVE-2017-10271)と同じコンポーネントでHTTP経由でコード実行が可能な脆弱性。こちらはHTTPなので、対象のモジュールが動いていて、そのパスが存在していたら危ないです。影響を受けるのは以下のバージョン10.3.6.012.1.3.012.2.1.212.2.1.3脆弱性検証PoCが公開されているCVE-2018-2894の脆弱性の検証を行いました。環境は前回作ったCVE-2017-10271のDockerのイメージを使おうとしましたが、前回のDockerイメージはProductionモードでビルドしており、公開されているPoCは開発モードでしか攻撃が成功しないため、使えませんでした。生産性のない話ということで、新しいDockerイメージをビルドします。12.2.1.2を作ります。以外はデフォルトで開発モードになっているのに、なぜそうなっているのかは不明......)。Oracleの公式のDockerfileをクローンします。OracleJavaのイメージをビルドした後で、以下のコマンドを実行します。.出来上がったイメージを起動します。攻撃のため、まずはこれを有効化します。Page」にチェックを入れます。コンテナを再起動して設定を有効化します。ちなみに、この設定を行わずに攻撃対象のパスにアクセスすると404が返ってきます。設定ページですが、このKeystoreをアップロードするところでjspのバックドアをアップロードできます。アップロード先のディレクトリを指定する必要があります。Dir」の値を「/u01/oracle/user_projects/domains/base_domain/servers/AdminServer/tmp/_WL_internal/com.oracle.webservices.wls.ws-testclient-app-wls/4mcj4y/war/css」に変更し、Submitを押します。左のメニューから「Security」を選択し、「Add」を押してKeystoreを追加します。名前に適当な値を入れ、JSPのバックドアをアップロードします。アップロードしたPOSTのレスポンスにタイムスタンプ(id)の値が返ってくるので、この値を覚えておきます。アップロードしたファイルにアクセスします。ここでは「/ws_utc/css/config/keystore/<タイムスタンプ>_<アップロードしたファイル名>」というパスにファイルが存在します。jspファイルがバックドアとして動作します。これで任意のコード実行が可能です。今回のPoCは前述の通り、開発モードでしか動作しません。チェックを入れて、再起動してみます。この状態だと、「/ws_utc/config.do」へアクセスしても503が返ってくるため、ファイルのアップロードができません。別のPoC同じ脆弱性を悪用するPoCでコンフィグファイルのインポートを行うところでバックドアをアップロードするものがありました。PoC自体は検証できていないのですが、アップロードが可能なことは確認できました。最初に「http://localhost:7001/ws_utc/」へアクセスします。このフォルダのアイコンをクリックすると設定のインポート画面が出てきます。先ほどのバックドアファイルをインポートします。設定ファイルではないため、怒られてしまいます。ファイルのアップロード自体は完了しており、Dockerコンテナ内に入って探すと確かにアップロードしたファイルを見つけることができます。以下はKeystoreのアップロード時と同じパスを設定している場合です。これで、「/ws_utc/css/upload/RS_Upload_2018-07-22_14-30-17_948/import_file_name_backdoor.jsp」のURLパスにアクセスすると、バックドアが動作します。有効になっている必要があります。まとめ攻撃は任意のファイルがアップロードできるため、影響は大きいですが、現状のPoCでは開発モードで特定のサービスを有効にしている場合のみ影響を受けるようです。商用のサービスでは、まあ、そんな環境があるとも思えないので、あまり影響はないかと考えています。今後違う形の攻撃コードが出てくる可能性もありますので、アップデートはしておくべきかと思います。リモートコード実行の脆弱性(CVE-2018-1270)について久しぶりにブログ書きます。最近あまりネタがなかったのでちょ...2018-01-30WOWHoneyhotを植えてみる久しぶりにハニーポット関連。脆弱性(CVE-2018-2894)についてXdebugとNetBeansを使ったDrupalのデバッグ環境をdocker-composeのみで立てる月別アーカイブはてなブログをはじめよう!blueBLUEさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。