玩转VMware之vRealize Operations Manager组合漏洞实现RCE

vRealize Operations 提供跨物理、虚拟和云基础架构的智能运维管理以及从应用程序到存储的可见性。使用基本策略的自动化，操作团队实现关键过程的自动化并提高 IT 效率。

VMWare vRealizes Operations曝光了多个漏洞：

• CVE-2021-21975， vRealize Operations Manager API未授权SSRF；

• CVE-2021-22023， vRealize Operations Manager API不安全对象引用；

• CVE-2021-21983，vRealize Operations Manager API目录穿越任意文件写。

组合这些漏洞可以实现完整RCE利用链。

下载ova虚拟机，启动后进入网页设置：

选择新安装，设置管理员凭证：

使用默认证书：

设置NTP和可用性：

可继续添加节点：

完成后等待首次使用初始化：

漏洞主要产生于`vRealizes`产品的`CaSA`接口服务，运行目录位于`/usr/lib/vmware-casa`：

对外可通过443端口访问，协议为https：

curl --request GET --include --insecure --user admin:PASSWORD --silent https://<host-name-or-ip-address>/casa/ …

查看`cas-security-context.xml`，定位到多个接口无需认证便能登录，注意到其中的`/nodes/thumbprints`：

在`ClusterDefinitioinController`中定义路由规则：

`getNodesThumbPrints`调用`HttpMapFunction`发送HTTP请求：

`execute`经过执行最终发送请求，对输入内容没有进行检查过滤：

访问`/casa/nodes/thumbprints`，通过POST参数指定目标地址，经测试发送的请求为https且支持自签名SSL证书。默认访问路径为`/casa/node/thumbprint`，可以通过`?`拼接指定新的路径：

`/private/security/passwordsync`接口获取密码数据：

返回内容包含hash内容，造成信息泄露：

通过SSRF访问`https://127.0.0.1/casa/private/security/passwordsync，读取到格式为`SHA256、SHA512`的`admin`用户HASH，破解成功后便可登录443端口：

上文提到可以泄露登录HASH，但并不能保证完全被控制。在捕获SSRF请求中发现请求头中包含一个Basic Auth字段，用户和密码如下：

maintenanceAdmin:CX8mXScyXBDrdeHYWv*****

惊讶的发现使用该内置账户可直接登录443端口，相当于一个后门账户：

且认证后显示登录用户为`admin`，属于高权限用户组：

也可以使用这个密码直接访问`/casa/nodes/thumbprints`接口：

既然有了管理权限，就可更改admin账户密码：

之后使用22端口登录：

通过接口调用方法修改密码：

通过接口调用启用ssh：

问题接口位于`/private/config/slice/ha/certificate`，进行证书处理：

最终调用`FileCopyUtils.copy`拷贝文件：

未对输入输出进行检查，导致目录穿越问题产生：

通过`/casa/private/config/slice/ha/certificate` 穿越上传shell：

访问webshell，但需要添加`BasicAuth`头：

由于传播、利用此文档提供的信息而造成任何直接或间接的后果及损害，均由使用本人负责，且听安全团队及文章作者不为此承担任何责任。

点关注，不迷路！

原文始发于微信公众号（且听安全）：玩转VMware之vRealize Operations Manager组合漏洞实现RCE