记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

希捷NAS出现远程代码执行漏洞

2015-03-02 16:05

分享到:

国外安全研究人员OJ Reeves发现了希捷NAS的一枚远程代码执行漏洞,并在去年的10月7日报告给了官方,但是130天过去官方仍然没有修复该漏洞,所以今天他放出了漏洞细节。

概述

希捷(Seagate Technology Cor)目前是全球最大的硬盘、磁盘和读写磁头制造商。他主打商业对象的NAS叫做Business Storage 2-Bay NAS,很多情况下他暴漏在公网上。

本次的远程代码执行漏洞出现在2014.00319版本的固件上,攻击者可以在没有认证的情况下远程执行命令,获取设备root权限。

漏洞细节

希捷NAS存在一个web形式的管理界面,当管理员登录后可以通过它进行一些操作,比如添加用户,设置访问控制,管理文件等等。

Web的主要配置如下:

    PHP 5.2.13

    CodeIgniter 2.1.0

    Lighttpd 1.4.28

都是一些很老的版本,我们知道在PHP 5.2版本可以通过空字符截断来包含文件。在CodeIgniter 2.2.0之前的版本我们可以提取秘钥然后解密cookie (CVE-2014-8686)进行对象注入。同时每一个CI框架都应该使用不同的加密Key,但是在希捷的NAS产品中,所有的加密key是一样的。

CI的框架是把SESSION放在客户端存储的,有下面这几个参数:

    Username:这是一个字符串值,代表当前会话的用户的名称

    is_admin:这是一个字符串值,可以为yes或者no,来判断当前用户是否为管理员

    language:这是来设置用户当前的语言的

一旦一个session被确认并且cookie中有username参数,系统没有进一步验证用户凭证。这意味着一旦用户可以操作这个值,就可以完全绕过登录机制。

is_admin参数可以使用户提升权限为管理员。

Language会包含相应的php语言文件,这里存在本地文件包含漏洞。

利用漏洞

想利用这个漏洞以root权限远程执行代码并不难,关键的几步如下:

1、攻击者必须把php代码写入NAS的文件系统,可以通过下面几步做到:

    通过User-Agent毒化HTTP access log文件

    通过Host毒化HTTP error log文件

    在Web界面修改设备的描述,他会把user-controlled字符串写入/etc/devicedesc文件

    上传一个文件并且在公网上分享

2、然后去修改cookie中的language参数来包含文件,并且用00截断。

3、攻击者带着这个恶意的cookie去访问设备便可以执行命令。

Exploit

Metasploit模块

Python脚本

t017a6daf2189762ae1.png

Metasploit利用截图

受影响的固件版本

2014.00319

2013.60311

本文由 360安全播报 翻译,转载请注明“转自360安全播报”,并附上链接。
原文链接:https://beyondbinary.io/advisory/seagate-nas-rce/

知识来源: bobao.360.cn/learning/detail/267.html

阅读:83218 | 评论:0 | 标签:漏洞

想收藏或者和大家分享这篇好文章→复制链接地址

“希捷NAS出现远程代码执行漏洞”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云