VMware vCenter - CVE-2024-37081 POC

    该漏洞可能是文件中的一项恶意配置/etc/sudoers，允许执行命令时保留隐藏的环境变量sudo。这可能受到攻击者的阻止，以便由具有 root 权限。

• 编号：CVE-2024-37081

• 描述Defaults env_keep：文件中参数的不良配置允许在执行命令时/etc/sudoers传播未知的环境变量（PYTHONPATH、、等） ，因此可以使用 root 权限执行任意代码。VMWARE_PYTHON_PATHVMWARE_PYTHON_BINsudo

• 受感染的用户/群组：

• %operator（团体）

• %admin（团体）

• infraprofile（用户）

• vpxd（用户）

• sts（用户）

• pod（用户）

脚本poc.py执行以下步骤：

1. create_malicious_code()/tmp/malicious/__init__.py ：在执行命令id并保护目标的目录中创建一个恶意 Python 文件/tmp/pwned。

2. execute_with_pythonpath()：创建环境变量PYTHONPATH并/tmp/malicious执行 sudo 命令以使用用户导入 Python 模块operator。

3. execute_with_vmware_python_path()：类似execute_with_pythonpath()，但使用环境变量VMWARE_PYTHON_PATH并像用户一样执行命令pod。

4. execute_with_vmware_python_bin()：创建一个恶意脚本 shell，创建此脚本的环境变量VMWARE_PYTHON_BIN，并像用户一样执行命令admin。

5. execute_with_sendmail()：执行以下命令，如用户所愿，vpxd阅读所用/etc/shadow文件sendmail。

6. check_exploit_success()：验证文件是否/tmp/pwned已创建，如果成功则表明恶意代码已被执行。

https://github.com/Mr-r00t11/CVE-2024-37081

原文始发于微信公众号（TtTeam）：VMware vCenter - CVE-2024-37081 POC