CVE-2019-19781：深入分析Citrix ADC RCE漏洞-安全KER

0x00 前言

Citrix ADC及Citrix Gateway上个月被曝存在一个严重漏洞，编号为CVE-2019-19781。我们比较关注该漏洞，据称未经身份认证的攻击者可以利用该漏洞攻击目标设备。虽然Positive Technologies和Paddy Power Betfair最早公布了漏洞信息，但并没有公开利用该漏洞的方式，因此需要进一步研究。

0x01 漏洞分析

尽管之前没有公开关于该漏洞的利用方式，但我们还是可以在Citrix的安全公告中找到关于漏洞类型的蛛丝马迹。

从该信息中，我们可知漏洞点可能位于/vpns/路径中，并且可能是一个目录遍历漏洞。了解这一点后，我们开始在httpd.conf文件中寻找/vpns的定义，发现/vpn/portal/scripts/由NetScaler::Portal::Handler这个Perl模块（Handler.pm）负责处理。

该目录中包含若干个脚本，但由于这可能是一个目录遍历漏洞，因此我们决定重点关注与文件写入操作有关的任何潜在的代码路径。

最终我们在UsersPrefs Perl模块中找到了如下代码：

sub csd {
        my $self = shift;
        my $skip_read = shift || "";
  # Santity Check
    my $cgi = new CGI;
print "Content-type: text/html\n\n";

// Username variable initialized by the NSC_USER HTTP Header
    my $username = Encode::decode('utf8', $ENV{'HTTP_NSC_USER'}) || errorpage("Missing NSC_USER header.”); <- MARK THIS

    $self->{username} = $username;
...
    $self->{session} = %session;

// Constructing the path from the username.
        $self->{filename} = NetScaler::Portal::Config::c->{bookmark_dir} . Encode::encode('utf8', $username) . '.xml’;
        if($skip_read eq 1) {
                return;
        }

简而言之，这段代码会直接根据HTTP头部中的NSC_USER字段构建具体路径，没有进行任何过滤操作。因此，调用csd函数的任何脚本都可以触发路径漏洞。

几乎所有脚本都会使用这个函数，然而对我们而言最有趣的是newbm.pl这个脚本文件：

my $cgi = new CGI;
print "Content-type: text/html\n\n";
my $user = NetScaler::Portal::UserPrefs->new();
my $doc = $user->csd();
...
my $newurl = Encode::decode('utf8', $cgi->param('url'));
my $newtitle = Encode::decode('utf8', $cgi->param('title'));
my $newdesc = Encode::decode('utf8', $cgi->param('desc'));
my $UI_inuse = Encode::decode('utf8', $cgi->param('UI_inuse'));
...
my $newBM = {   url => $newurl,
    title => $newtitle,
    descr => $newdesc,
    UI_inuse => $UI_inuse,
};
...

该脚本会根据多个参数创建一个数组，然后调用filewrite函数，该函数将具体内容写入磁盘上的一个XML文件。

if ($newBM->{url} =~ /^\/){
   push @{$doc->{filesystems}->{filesystem}}, $newBM;
 } else { # bookmark
   push @{$doc->{bookmarks}->{bookmark}}, $newBM;
 }
// Writing XML file to disk
 $user->filewrite($doc);

因此从本质上来看，现在我们得到了一个部分文件写入原语，可以控制除文件扩展名外的具体路径，也能控制xml文件中的某些内容。如果单凭这个漏洞，我们基本上没啥发挥空间，然而在看到Craig Yong的一篇文章后，我们发现有可能使用Perl Template Toolkit来进一步利用该漏洞。

进一步研究后，我们发现可以在XML文件中插入特定指令，如果模板引擎解析该内容，就有可能实现代码执行。

比如，我们可以通过如下方式来实现模板解析：