艾迪訊科技 圖書館系統 Open BlueDragon LFI to Remote Code Execution - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2018-01331
  •  發信 Vendor: 艾迪訊科技
  • Title: 艾迪訊科技 圖書館系統 Open BlueDragon LFI to Remote Code Execution
  • Introduction: LFI,RCE

處理狀態

目前狀態

公開
Last Update : 2018/12/03
  • 新提交
  • 已審核
  • 已通報
  • 已修補
  • 未複測
  • 公開

處理歷程

  • 2018/09/12 14:05:35 : 新提交 (由 <svg/onload=alert(1)> 更新此狀態)
  • 2018/09/12 14:08:10 : 新提交 (由 <svg/onload=alert(1)> 更新此狀態)
  • 2018/09/12 14:12:52 : 新提交 (由 <svg/onload=alert(1)> 更新此狀態)
  • 2018/09/12 14:17:05 : 新提交 (由 <svg/onload=alert(1)> 更新此狀態)
  • 2018/09/12 22:43:15 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2018/09/17 14:53:50 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2018/09/17 14:53:50 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2018/11/12 03:00:06 : 公開 (由 HITCON ZeroDay 平台自動更新)
  • 2018/11/12 10:34:48 : 公開 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2018/11/12 10:35:05 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2018/11/15 14:15:40 : 複測申請中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2018/12/03 03:00:09 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

  • ZDID：ZD-2018-01331
  • 通報者：morrow (<svg/onload=alert(1)>)
  • 風險：嚴重
  • 類型：遠端命令執行 (Remote Code Execution)

參考資料

攻擊者可經由該漏洞取得主機完整權限、任意寫入檔案及取得大量內網資訊。

漏洞說明： OWASP - Code Injection
https://www.owasp.org/index.php/Code_Injection

漏洞說明： OWASP - Command Injection
https://www.owasp.org/index.php/Command_Injection

漏洞說明： CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection')
http://cwe.mitre.org/data/definitions/77.html

漏洞說明： CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')
http://cwe.mitre.org/data/definitions/78.html
(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

相關網址

備註：多為 gov 以及 edu 單位

http://kllib.klccab.gov.tw/bluedragon/administrator/login.cfm
http://search.tphcc.gov.tw/ERS/bluedragon/administrator/login.cfm
http://ipac.library.taichung.gov.tw/webpac/bluedragon/administrator/login.cfm
http://webpac.lib.ntpu.edu.tw/bluedragon/administrator/login.cfm
http://www.lib.ydu.edu.tw/bluedragon/administrator/login.cfm
http://140.131.140.11/webpac/bluedragon/administrator/login.cfm
http://134.208.29.170/webpac/bluedragon/administrator/login.cfm
http://www.cycab.gov.tw/bluedragon/administrator/login.cfm
http://140.128.69.102/webpac/bluedragon/administrator/login.cfm
http://app3.nlpi.edu.tw/fha/bluedragon/administrator/login.cfm
http://163.26.71.106/webpac/bluedragon/administrator/login.cfm
http://163.23.5.18/idserm/bluedragon/administrator/login.cfm
http://www.claridy.com/bluedragon/administrator/login.cfm
https://www.mitac.com.tw/bluedragon/administrator/login.cfm
http://www.lib.ydu.edu.tw/bluedragon/administrator/login.cfm
http://erm.kmu.edu.tw/bluedragon/administrator/login.cfm
http://210.70.80.47/idserm/bluedragon/administrator/login.cfm
http://erm.lib.ctcn.edu.tw:8080/idserm/bluedragon/administrator/login.cfm
https://erm.niu.edu.tw:8443/idserm/bluedragon/administrator/login.cfm
http://erm.npu.edu.tw:8080/idserm/bluedragon/administrator/login.cfm
http://aulib.asia.edu.tw/webpac/bluedragon/administrator/login.cfm
http://inspire.tyhs.edu.tw/webpac/bluedragon/administrator/login.cfm
http://library.chjhs.tp.edu.tw/NewWebpac/bluedragon/administrator/login.cfm
http://163.20.23.19/NewWebpac3/bluedragon/administrator/login.cfm
http://140.131.19.225/webpac/bluedragon/administrator/login.cfm
http://wwwlibuser.nmns.edu.tw/bluedragon/administrator/login.cfm
http://interread.ntsh.ntpc.edu.tw:8080/webpac/bluedragon/administrator/login.cfm
http://140.119.99.25/NewWebpac/bluedragon/administrator/login.cfm
http://163.30.135.24/NewWebpac3/bluedragon/administrator/login.cfm
http://203.72.10.253/webpac/bluedragon/administrator/login.cfm
http://complaw.ntpu.edu.tw/lib/bluedragon/administrator/login.cfm

敘述

發現後台

一開始在逛某個圖書館的時候，發現使用了 cfm 副檔名，於是 fuzzing 了一下後
發現存在後台：/bluedragon/administrator/login.cfm
圖片

LFI leak password

根據 cve-2014-5370，我們可以知道 bluedragon 有被 LFI 的風險，於是我們嘗試利用此漏洞

https://www.exploit-db.com/exploits/36815/
https://www.portcullis-security.com/security-research-and-downloads/security-advisories/cve-2014-5370/

接著我們 review 官方開源的文件，可以發現關鍵檔案會放在 /WEB-INF/bluedragon/bluedragon.xml

https://github.com/OpenBD/openbd-core/blob/15a010e6c31bc09b40faecae86f973ccb1c15024/build/resources/WEB-INF/bluedragon/bluedragon.xml

於是我們就直接存取 http://目標/cfchart.cfchart?../../bluedragon.xml 最終成功得到了密碼
圖片

Shell Upload

登入後台後，觀察了一下各個功能，會發現有一個 Scheduled Tasks，這個部分是關鍵點
圖片
還記得 CodeFusion 有類似的漏洞

https://jumpespjump.blogspot.com/2014/03/attacking-adobe-coldfusion.html

Scheduled Tasks 上傳的部分基本上是一樣的
於是我們就直接建立一個 Scheduled Tasks
並利用以下的 cfm shell 來上傳

https://raw.githubusercontent.com/fuzzdb-project/fuzzdb/master/web-backdoors/cfm/cfExec.cfm

圖片

Remote Code Execution

成功上傳後，成功獲得主機 root 權限，危害非常大
圖片

擷圖

留言討論

聯絡組織

 發送私人訊息
您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。
;