密钥技术感应器管理服务器多RBE易变性

CVE-2022-38129-添加LicenseFile轨迹RCE(CVSS:3.1/AV:N/AC/L/PR:N/UI:N/S:U/C:H/I:H/A:H)

路径遍历漏洞存在于cm.keysight.entaclelicensing.LicenseManager.+LicenseFile方法Keysight传感器管理服务器允许非认证远程攻击者向短信主机上传任意文件

攻击者可以通过URL端点/server/service/service/service/licensingServiceHttpInvoker.方法取许可文件名输入数据 licenss/ 短信安装目录

方法检验许可文件名中是否包含Windows文件分离器以确保文件保存 licenss/

//cm.keysight.entacle licensing.LicenseManager. addLicenseFile()
公共许可Error添加LicenseFile 许可描述参数描述
if(单词Liscense描述-NETER)
return LicenseError.INVALID_FILENAME;
字符串字符串=参数License描述 GETFilename(
if(sxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
return LicenseError.INVALID_FILENAME;
if (str.contains(File.separator))
return LicenseError.PATHNAME_NOT_ ALOWED;
字节数组OfByte=parmLicense描述 GetLicense();
if(数组byte=NETQ数组byte=0)
return LicenseError.INVALID_LICENSE_ FILE;
字组数组数组数组数组新 数组Byte
文件=新文件
FileExputStream文件ExputStream=Null
lipsError许可Error=lipsError.UNKNOWN;
缓冲输出Stream
试{
文件输出Stream=新文件输出Stream
缓冲输出Stream=新缓冲输出Stream fileOutputStream);
字节数组OfByte1=新字节[1024];
inti=0
while(i=字组数组数组数组数组数组数组数组数组数组数组数组数组数组数组数组数组数组数组数组数组数组数组数组数组数组数组 数组OfByte1)
bufferedOutputStream.write( 数组Byte10i
lipsError=lipsError.K
}抓取(FileNotFoundExceptive文件非FoundExceptive)
lipsError =lipsError.FILEWRITEEROR;
}抓取(IOExceptioniOException)
lipsError =lipsError.FILEWRITEEROR;
终于
试{
if(缓冲输出Stream!
bufferedOutputStream.close();
if(fileExputStream!
fileOutputStream.close();
}抓取(IOExceptioniOException)
lipsError =lipsError.FILEWRITEEROR;
}
}
返回许可错误;
}

可绕过检查前斜线(即.///)。攻击者可用许可文件名路径遍历向短信主机中的任何位置上传攻击者控制文件攻击者可上传反壳TCP有效载荷并存 \ping.exe并调用cem.keysight.entacle.config SensorConfigurer.sensorPing() (via /server/service/ sensorConfigServiceHttpInvoker 执行有效载荷实现非认证RCE

传感器平方法执行攻击者提供ping.exe而不是C:\Windows\System32\ping.exe serverPing ()调用ping.exe时不使用绝对路径

// com.keysight.tentacle.config. SensorConfigurer.sensorPing()
公开列表 serverPing(String参数String)
链接列表 链表=新链表
字符串sle
试{
进程=运行时间.getRuntime Ping+parmString系统
.snip.


CVE-2022-38130-smsRestoreDataZipUNC路径RCES:U/C:H/I:H/A:H)

The com.keysight.tentacle.config. ResourceManager. smrestoreDatabaseZip ()方法恢复短信中HSQLDB数据库。它以拉链数据库文件路径为单参数非认证远程攻击者可指定UNC数据库文件路径(即\\ sms actioner-db.zip>)有效控制数据库内容恢复

HSQLDB数据库中包括脚本文件,内含SQL语句,拟执行编译数据库方法执行期间,脚本文件中的SQL语句执行攻击者可以在脚本中任意 SQL语句执行

举个例子,HSQLDB可调用ava静态方法,攻击者可使用以下SQL语句加载攻击者控制dLL