[重要]SSH 命令注入漏洞(CVE–2017–1000117)预警

2017-08-11 19:47

enter image description here

0x00背景介绍

A malicious third-party can give a crafted "ssh://..." URL to an unsuspecting victim, and an attempt to visit the URL can result in any program that exists on the victim's machine being executed. Such a URL could be placed in the .gitmodules file of a malicious project, and an unsuspecting victim could be tricked into running "git clone --recurse-submodules" to trigger the vulnerability.

-- https://www.mail-archive.com/linux-kernel@vger.kernel.org/msg1466490.html
在2017年8月10日Junio C Hamano发布了这一问题。

0x01漏洞概述

恶意人员可以通过巧妙构造“ssh://…”链接，让受害人在执行程序等情况下访问该恶意链接，从而达到命令执行的目的。该链接可以被放在 git项目的 .gitmodules 文件下，这样当受害人对一个项目进行“git clone --recurse-submodules”操作时，就会引发安全问题。

360CERT进行了紧急分析，目前该分析报告仅以Git为例，但漏洞影响包括但不限于Git，SVN，CVS，HG，Gitlab，GithubDesktop，SourceTree等。

0x02漏洞攻击面影响

影响面

该漏洞主要由“ssh://…”链接造成，如Git，SVN，CVS，HG等工具，在解析SSH链接的时候都会触发这个漏洞。此外，若是其他程序在解析SSH链接的时候，不做相应的处理，就会触发该漏洞。

经过360CERT研判后确认，漏洞风险等级高，影响范围广。

影响版本

Versions prior to 2.14.1 of the Git

修复版本

Git v2.14.1

0x03漏洞详情

技术细节

该漏洞主要由于SSH链接在hostname部分，若是用“-”开头，那么会导致ssh命令将hostname误认为这是一个选项。因此，我们可以利用“-oProxyCommand”选项来达到命令执行的目的。

在进行git clone 时候会调用到git/connect.c中“struct child_process git_connect(int fd[2], const char url,const char *prog, int flags)”函数。其接受到的参数url为命令中“git clone xxx://xxxxxxxxxx/xx(.git)”的xxx://xxxxxxxxxx/xx(.git)部分。在该函数中会对传入的这个字符串进行parse，提取其协议部分。在满足协议为ssh://的时候会进入该函数的else部分。

enter image description here