FireEye 红队失窃工具大揭秘之：分析复现SolarWinds RCE 0day (CVE-2020-10148)

 聚焦源代码安全，网罗国内外最新资讯！

前言

最近，全球领先的网络安全公司 FireEye 疑遭某 APT 组织的攻击，其大量政府客户信息遭越权访问，且红队工具被盗。虽然目前尚不清楚这些红队工具将被如何处置，但FireEye 公司在 GitHub 上发布了一些应对措施。奇安信代码安全实验室将从技术角度，对 GitHub 仓库中的相关漏洞进行分析复现，希望能给读者带来一些启发，做好防御措施。

漏洞简介

SolarWinds Orion平台是一套负责系统监视和产品管理的基础架构，其中的SolarWinds Orion API主要负责SolarWinds Orion平台产品间的交互工作。

SolarWinds Orion 2020.2.1HF2、2019.4HF6之前的版本产品存在远程代码执行漏洞。具体来说，攻击者在访问链接中构造参数“.js”、“.css”等以便绕过权限验证，最终任意调用Orion API达到代码执行的目的。

受影响产品

SolarWinds Orion平台系列产品

受影响版本

Orion Version<2020.2.1HF2

Orion Version<2019.4HF6

修复版本

• 2019.4 HF 6

• 2020.2.1 HF 2

• 2019.2 SUPERNOVA补丁

• 2018.4 SUPERNOVA补丁

• 2018.2 SUPERNOVA补丁

漏洞分析

分析SolarWinds Orion的URL请求验证代码，如下。

private static void OnRequest(object sender, EventArgs e)


                  {


                           HttpApplication httpApplication = (HttpApplication)sender;


                           HttpContext context = httpApplication.Context;


                           string path = context.Request.Path;


                           # 如果请求的资源包含关键词“Skipi18n”，则会跳过用户权限验证限制，新建一个空用户


                           if (path.IndexOf("Skipi18n", StringComparison.OrdinalIgnoreCase) >= 0)


                           {


                                    if (context.User == null || !context.User.Identity.IsAuthenticated)


                                    {


                                             context.SkipAuthorization = true;


                                             context.User = new NullUser();


                                    }


                                    return;


                           }


                           # 如果请求的资源以".css"或“.js”结尾，则会跳过用户权限验证限制，新建一个空用户，并重定向到新页面


                           if (path.EndsWith(".css", StringComparison.OrdinalIgnoreCase) || path.EndsWith(".js", StringComparison.OrdinalIgnoreCase))


                           {