취약점 분석 - CVE-2014-6287, HFS(HTTP File Server) RCE 취약점

 

취약점 설명

parserLib.pas 라이브러리 파일에 내재되어 있는 findMacroMarker 함수가 %00(NULL) 값 이후에 오는 값을 읽어내지 못하여 파일 실행, 저장과 같은 매크로 명령어를 걸러내지 못하여 공격자가 원하는 행위가 가능한 취약점입니다. 

hfs2.3~hfs2.3c에 해당 CVE 취약점이 있습니다. 

 

 

*HFS(HTTP File Server) : HTTP 기반 파일 공유 서버

*스크립팅(매크로) 명령어 모음 : https://www.rejetto.com/wiki/index.php/HFS:_scripting_commands

 

 

코드 분석

 

// parserLib.pas
function findMacroMarker(s:string; ofs:integer=1):integer;
begin result:=reMatch(s, '\{[.:]|[.:]\}|\|', 'm!', ofs) end;

findMacroMarker 함수를 통해 사용자가 입력하는 내용(URL)에 매크로 명령어가 존재하는지를 검증합니다. 

 

여기서 매크로는 인코딩&디코딩, 랜덤 선택 심지어는 시스템 명령어 실행이 가능한 명령어 집합입니다. 

https://www.rejetto.com/wiki/index.php/HFS:_scripting_commands

 

예를 들어 사용자가 다음과 같은 URL을 입력하였다고 가정합니다. 

http://target-server.com/search?={.exec|notepad.}

 

 

그럼 정규 표현식에 의해서 매크로 명령어를 감지하고 실행하지 못하게 방지를 할 수 있지만, 중간에 NULL 값(%00)이 오게 되면 NULL 값 뒤에 값들을 무시해 버리게 됩니다.

 

ex) http://target-server.com/search?=%00{.exec|notepad.}

 

결국 함수의 리턴 값은 false가 나오고 매크로 명령어 감지에 실패하게 됩니다. 

 

 

 

코드 출처: 

https://github.com/rejetto/hfs2/blob/master/parserLib.pas#L244

 

 

 

실습

 

[공격 대상 환경]

OS : Microsoft Windows [Version 10.0.19045.3803]

IP Address : 192.168.56.102

hfs Version : 2.3

 

[공격자 환경]

OS : Linux kali 6.5.0-kali3-amd64

IP Address : 192.168.56.101

 

 

우선 hfs 서버가 열리는지 확인하고 공격자와 공격 대상이 통신이 가능한지를 파악합니다. 

 

 

 

공격 스크립트를 작성한 다음 익스플로잇을 합니다. 

 

피해자의 PC를 확인하면 로그에는 파라미터 값이 없는 요청이 남겨져 있으며, 공격자가 의도한대로 계산기를 실행한 것을 확인할 수 있습니다. 

 

 

 

공격 방지

공격 방지를 위해서 할 수 있는 것은 애플리케이션 최신 버전 업데이트 입니다. 

현재 CVE-2014-6287 취약점은 2.3c 버전부터는 패치가 되어 있으므로 2.3c 이상의 버전을 설치할 것을 권장합니다. 

 

 

 

2.3c 버전을 설치한 환경에는 똑같은 방식으로 공격을 하였음에도 아무런 문제가 없는 것을 확인할 수 있습니다. 

 

 

 

참고

 

https://wins21.co.kr/kor/promotion/information.html?bmain=view&language=KOR&uid=2361

WINS

 

https://nvd.nist.gov/vuln/detail/CVE-2014-6287

NVD - CVE-2014-6287

 

https://subscription.packtpub.com/book/security/9781786463166/1/ch01lvl1sec20/vulnerability-analysis-of-hfs-2-3

Mastering Metasploit - Second Edition

 

https://github.com/rejetto/hfs2/blob/master/parserLib.pas