【漏洞预警】Metasploit 反序列化漏洞,可远程非授权执行代码【转】

时间:2016.9.21 来源:安全客

在本周Rapid7发布的4.12.0-2016091401补丁[0]描述中我们可以看到有2个漏洞,结合这2个漏洞远程攻击者可以非认证的在metasploit产品上执行任意代码,随后有研究人员也放出了POC攻击代码[1]

漏洞1:Metasploit Web UI’s config.action_dispatch.cookies_serializer 设置为 :hybrid

OVE ID: OVE-20160904-0001

私有披露日期: 2016-09-04

公开披露日期: 2016-09-19

厂商公告 : https://community.rapid7.com/community/metasploit/blog/2016/09/15/important-security-fixes-in-metasploit-4120-2016091401

影响的版本 : Metasploit 4.12.0-2016061501 到 4.12.0-2016083001

Rails应用会接受一个标记的cookies来处理会话,在Rails 4.1的以前版本中,使用Marshal进行序列化,允许实例化任意对象的反序列化。Rails 4.1引入JSON cookie序列化机制,默认不允许任意对象实例化,这种配置要安全的多。Rails 4.1也引入了’hybrid’ cookie序列化,这将允许反序列化JSON和Marshal序列化的cookies,当cookie序列化设置为Marshal或hybird时,远程攻击者如果知道cookie signing key的值,就能够构造会话cookie,触发Marshal反序列化,实现任意代码执行。

Metasploit Community, Express 和 Pro 版本的 Web UI在 Metasploit 4.12.0-2016091401之前的config.action_dispatch.cookies_serializer 值设置为 :hybrid,直到Metasploit 4.12.0-2016091401,才将其值设置为:json,因此用户需要更新到Metasploit 4.12.0-2016091401或更新版本才能有效防护此漏洞

参考:

[0] http://blog.bigbinary.com/2014/12/23/migrating-existing-session-cookies-while-upgrading-to-rails-4-1-and-above.html

[1] https://www.rapid7.com/db/modules/exploit/multi/http/rails_secret_deserialization

漏洞2:Metasploit Weekly Release Static secret_key_base pre-auth RCE

OVE ID: OVE-20160904-0002

私有披露日期: 2016-09-04

公开披露日期: 2016-09-19

厂商公告 :https://community.rapid7.com/community/metasploit/blog/2016/09/15/important-security-fixes-in-metasploit-4120-2016091401

影响的版本 : Metasploit 4.12.0-2016061501 到 4.12.0-2016083001

Metasploit Community, Express 和 Pro版本,WEB UI的secret_key_base值是固定已知的, 而且Metasploit的config.action_dispatch.cookies_serializer的值默认又为:hybrid,这导致攻击者可以远程非认证的构造cookies,实现反序列化任意Marshall对象,以daemon用户权限在装有Metasploit的机器上执行任意命令。

已知的secret_key_base值如下:

攻击Metasploit本身的模块已经有安全研究人员开发出来了,路径为

exploit/multi/http/rails_secret_deserialization
使用方法如下:

Rapid7 在 etasploit 4.12.0-2016091401版本中修复了这个问题,将会检测secret_key_base的值是否是默认值,如果是,将重新生成,因此用户要尽快升级到Metasploit 4.12.0-2016091401或以上版本

此条目发表在未分类, 漏洞攻击分类目录。将固定链接加入收藏夹。