[CVE 취약점] Microsoft SQL Server 원격 코드 실행 취약점 (CVE-2020-0618)

[CVE 취약점] Microsoft SQL Server 원격 코드 실행 취약점 (CVE-2020-0618)

참조

> https://github.com/pwntester/ysoserial.net

> https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0618

Poc 

https://www.exploit-db.com/exploits/48816

개요

SQL Server Reporting Services 란? 

SSRS(SQL Server Reporting Services)

- 웹 브라우저, 모바일 및 메일 등을 통해 자주 참조되는 보고서를 배포 및 관리하는 일련의 온-프레미스 솔루션

- 표, 차트, 지도 등 다양한 시각도구 지원

Microsoft SQL Server Reporting Services가 페이지 요청을 잘못 처리하는 경우 원격 코드 실행 취약점 (일명 'Microsoft SQL Server Reporting Services 원격 코드 실행 취약점')이 존재

SSRS 웹 응용 프로그램의 기능을 통해 역 직렬화 취약점을 악용, 권한이 낮은 사용자 계정이 서버에서 원격 코드 실행

영향 받는 제품 버전

SQL Server 2012 for 32-bit Systems Service Pack 4 (QFE)

SQL Server 2012 for x64-based Systems Service Pack 4 (QFE)

SQL Server 2014 Service Pack 3 for 32-bit Systems (CU)

SQL Server 2014 Service Pack 3 for 32-bit Systems (GDR)

SQL Server 2014 Service Pack 3 for x64-based Systems (CU)

SQL Server 2014 Service Pack 3 for x64-based Systems (GDR)

SQL Server 2016 for x64-based Systems Service Pack 2 (CU)

SQL Server 2016 for x64-based Systems Service Pack 2 (GDR)

방안

보안 업데이트 : Microsoft SQL Server Reporting Services가 페이지 요청을 처리하는 방식을 수정하여 취약점 해결 (2020.02 patch)

서버 관리자 : 인증 된 사용자만 액세스 할 수 있도록 서버 접근 권한 확인 / 익명 사용자 계정 사용 지양

취약점 분석

서버 환경 구축

Victim : Microsoft Windows Server 2012 R2 Standard Evaluation x64, Microsoft SQL Server Reporting Services Version 13.0.5026.0

Windows Server 2012 x64에 Microsoft SQL Server Reporting Services Version 13.0.5026.0 설치

공격자

Module

- exploit/multi/handler

Payload

- windows/x64/shell_reverse_tcp

LHOST, LPORT 설정 및 Listen 대기

ysoserial을 사용하여 직렬화 된 Payload 생성

Exploit 실행

실행 후 Listen Port > Reverse_Connection 체크

- whoami

- ipcnofig

- 호스트 정보 확인

Snort  

alert tcp any any -> any 80 (sid:1; gid:1 content:"POST /ReportServer/pages/ReportViewer"; nocase; http_uri; content:"NavigationCorrector%24PageState=NeedsCorrection&__VIEWSTATE=&NavigationCorrector%24ViewState="; msg:"CVE-2020-0618";