Как найти уязвимые IP-адреса по CVE ID: CVE-2019-0192

Как найти уязвимые IP-адреса по CVE ID: CVE-2019-0192
aa8f06ed0d827407f081a58fa833eceb.png


Мы будем использовать Spyse для поиска уязвимых IP-адресов на CVE-2019-0192.

Шаг 1. Найдите уязвимые версии программного обеспечения

Посмотрим на описание NVD CVE :

В версиях Apache Solr 5.0.0–5.5.5 и 6.0.0–6.6.5 API-интерфейс Config позволяет настраивать JMX-сервер с помощью HTTP-запроса POST. Направив его на вредоносный RMI-сервер, злоумышленник может воспользоваться небезопасной структуризацией Solr для запуска удаленного выполнения кода на стороне Solr.

Apache Solr - это платформа для поисковых систем с открытым исходным кодом, используется многими гигантами программного обеспечения, такими как AT&T, eBay и Netflix.
Нам нужно найти версии Apache Solr с 5.0.0 до 5.5.5 и с 6.0.0 до 6.6.5.
Вот полный список уязвимых версий программного обеспечения :

5.x      6.x      
5.0.06.0.0
5.1.06.0.1
5.2.06.1.0
5.2.16.2.0
5.3.06.2.1
5.3.16.3.0
5.3.26.4.0
5.4.06.4.1
5.4.16.4.2
5.5.06.5.0
5.5.16.5.1
5.5.26.6.0
5.5.36.6.1
5.5.46.6.2
5.5.56.6.3
6.6.4
6.6.5
Теперь нам нужно воспроизвести уязвимую программную среду, чтобы выявить ее уникальные характеристики.

Шаг 2: Воспроизведите уязвимую среду

Самый простой способ воспроизвести среду Solr - запустить контейнер докера с соответствующим тегом версии, используя команду, представленную на странице Docker Hub Solr Page :

docker run \ 
  --detach \ 
  --name="solr" \ 
  --publish 8983:8983 \ 
  solr:5.5.5 

Через несколько минут мы получим исправную систему на http: // localhost: 8983 :
16255d1322d7e1317782ca8b016d49ee.png

Домашняя страница Apache Solr

На веб-сервере Solr по умолчанию нет защиты, поэтому панель администратора открыта для всех.

Шаг 3: Определите характеристики программного обеспечения

Первое, на что следует обратить внимание, это документация докер-хаба. В документации команда, запускающая контейнер, использует порт 8983. Номер порта является первой зацепкой, однако он довольно распространен для различных служб HTTP, поэтому мы должны найти что-то еще.

Второй характеристикой является ответ перенаправления HTTP на страницу / solr/, полученную с сервера, когда мы переходим на домашнюю страницу.

d2b7b92d5ab060cbd5d9242658c1f6a3.png

Стоит попытаться изучить исходный код HTML. В заголовке страницы мы видим подстроку «Solr Admin», которая может быть идентификатором программного обеспечения. Далее мы видим, что версия Apache Solr «5.5.5» включена в путь таблиц стилей.

8a62352d5a83304470009d61c774854d.png

Теперь у нас достаточно информации, чтобы попытаться найти уязвимые IP-адреса.

Шаг 4: Задайте правильный запрос

На этом этапе мы собираемся использовать функцию расширенного поиска Spyse , чтобы найти домены, работающие на Apache Solr, затронутые CVE-2019-0192.

Попробуем найти домены по версии 6.5.0 Apache Solr и Title. Мы установим следующие поисковые фильтры:

  • Domains → Site info → Title → contains → Solr
  • Domains → Site info → Title → contains → Apache
  • Domains → Site info → Styles → contains → 6.5.0
Вот как может выглядеть результат поиска:
1896635467c3d94a402aac750253c833.png
Расширенный поиск Spyse

Последний шаг: очистка

Почистите компьютер после проведенных операций. Остановите и удалите док-контейнер Apache Solr и образ докера:

docker stop solr \  
 && docker rm solr \ 
  && docker rmi solr:5.5.5   

Итоги

Чтобы повысить безопасность службы Apache Solr вы всегда должны добавлять элементы управления безопасностью. Тогда ваше программное обеспечение не будет подвергаться публичному доступу. Примерами таких элементов управления могут быть HTTP-авторизация или использование VPN.
Вы должны быть готовы к таким мерам безопасности, ведь обнаружение таких хостов, относительно редкая удача.
IP-адрес уязвимости в web-приложениях
Alt text

Подписывайтесь на каналы "SecurityLab" в TelegramTelegram и TwitterTwitter, чтобы первыми узнавать о новостях и эксклюзивных материалах по информационной безопасности.