Amazon AWS Elastic Beanstalk Remote Command Execution

2017年5月1日19:23:10评论436 views字数 233阅读0分46秒阅读模式

摘要

2016-05-09：细节已通知厂商并且等待厂商处理中
2016-05-10：厂商已经确认，细节仅向厂商公开
2016-05-20：细节向核心白帽子及相关领域专家公开
2016-05-30：细节向普通白帽子公开
2016-06-09：细节向实习白帽子公开
2016-06-24：细节向公众公开

漏洞概要关注数(27) 关注此漏洞

缺陷编号： WooYun-2016-206807

漏洞标题： Amazon AWS Elastic Beanstalk Remote Command Execution

漏洞作者：从容

提交时间： 2016-05-09 22:49

公开时间： 2016-06-24 12:50

漏洞类型：命令执行

危害等级：中

自评Rank： 10

漏洞状态：厂商已经确认

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签：设计缺陷/边界绕过

4人收藏

漏洞详情

披露状态：

简要描述：

Amazon AWS Elastic Beanstalk Remote Command Execution.
RCE嘛，inbound rules也就形同虚设了。

详细说明：

https://aws.amazon.com/cn/elasticbeanstalk/

亚马逊AWS Elastic Beanstalk可以让用户快速方便的搭建web环境，例如PHP环境，EBS将直接把常用的module部署上去，包括ImageMagick。也就是说只要选择好哪种语言的环境，直接自动化部署，不能自定义module，用户没的选择。直到现在亚马逊也没有给EBS用户推送CVE-2016-3714的补丁。这是刚刚搭建的环境：

漏洞证明：

一个Demo：

code 区域

<!doctype html>
 <html lang="en">
 <head>
  <meta charset="UTF-8">
  <title>upload</title>
 </head>
 <body>
  <form action="" method="post" enctype="multipart/form-data">
    <input type="file" name="file">
    <input type="submit" value="submit">
  </form>
 </body>
 <?php 
 
  $filename = $_FILES['file']['name'];
  $type = substr($filename, strrpos($filename, '.')+1);
 
  if ($type === "jpg" || $type === "png" || $type === "gif") {
   move_uploaded_file($_FILES['file']['tmp_name'], $filename); 
   $imgObject = new Imagick($filename);
  }
 ?>
 </html>

http://52.36.61.47/imagick.php

http://52.36.61.47/wordpress/

code 区域

gougouxia
 meijj

修复方案：

EBS的模式是挺不错，但是要第一时间"意识到"自动部署的模块存在漏洞，并推送补丁，因为用户没的选择。

EBS ImageMagick Update to 7.0.1

版权声明：转载请注明来源从容@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：15

确认时间：2016-05-10 12:45

厂商回复：

已确认。目前Elastic Beanstalk服务提供给客户的默认PHP环境受此漏洞影响，我们将紧急推送补丁到客户的环境。

漏洞评价：

对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值

漏洞评价(共0人评价):

登陆后才能进行评分

评价

2016-05-09 22:58 | k0_pwn ( 普通白帽子 | Rank:202 漏洞数:17 | 专注且自由)

0

my biaoge ，can you speak Chinese，wo kan bu dong

1# 回复此人
2016-05-09 23:08 | 从容 ( 普通白帽子 | Rank:415 漏洞数:99 | 哇啦啦啦啦啦我的宝贝 | ..)

0

@k0_pwn Rest assured,content is Chinese language

2# 回复此人
2016-05-10 00:03 | 小良不能说的秘密 ( 实习白帽子 | Rank:36 漏洞数:15 | 一直等待与你再见一面)

0

ni men shuo de wo yi ge dou kan bu dong

3# 回复此人
2016-05-10 00:10 | Ankey. ( 实习白帽子 | Rank:67 漏洞数:23 | 小甜甜)

0

我知道你是谁，咋不给我发个5块钱红包呀土豪。然而我还没精通php……

4# 回复此人
2016-05-10 13:42 | tnt1200 ( 普通白帽子 | Rank:134 漏洞数:18 | 关注飞机安全.... @从容是我师傅)

0

biao ge six six six!

5# 回复此人
2016-05-10 14:22 | 高小厨 ( 普通白帽子 | Rank:998 漏洞数:91 | 不会吹牛的小二不是好厨子！)

0

six six six ！

6# 回复此人
2016-05-10 14:46 | 坏男孩-A_A ( 实习白帽子 | Rank:81 漏洞数:23 | 膜拜学习中)

0

reports directly to us at 我爱乌云amazon.com 看傻了=。=

7# 回复此人
2016-06-24 13:05 | study_vul ( 实习白帽子 | Rank:62 漏洞数:9 | 我有乌云id了，我马上就要牛叉起来了)

0

牛比这个都被挖出来了

8# 回复此人
2016-06-24 14:42 | heoo ( 路人 | Rank:26 漏洞数:10 | 努力从来不会亏待任何一个人。)

0

没看明白0.0

9# 回复此人

漏洞概要 关注数(27) 关注此漏洞

缺陷编号： WooYun-2016-206807

漏洞标题： Amazon AWS Elastic Beanstalk Remote Command Execution

相关厂商： 亚马逊

漏洞作者： 从容

提交时间： 2016-05-09 22:49

公开时间： 2016-06-24 12:50

漏洞类型： 命令执行

危害等级： 中