HTB Blurry. Атакуем сервер через уязвимость в ClearML

Разведка

Сканирование портов

До­бав­ляем IP-адрес машины в /etc/hosts:

И запус­каем ска­ниро­вание пор­тов.

Наш­лось все­го два откры­тых пор­та:

• 22 — служ­ба OpenSSH 8.4p1;
• 80 — веб‑сер­вер Nginx 1.18.0.

В логах Nmap так­же вид­но, что с 80-го пор­та выпол­няет­ся редирект на сайт http://app.blurry.htb. Добавим новый под­домен в файл /etc/hosts и прос­мотрим сайт в бра­узе­ре.

Нас встре­чает сер­вис ClearML.

Точка входа

ClearML — это фрей­мворк для тре­кин­га ML-экспе­римен­тов, поз­воля­ющий отсле­живать мет­рики машин­ного обу­чения, хра­нить и пре­дос­тавлять по зап­росу модели, вос­про­изво­дить экспе­римен­ты и визу­али­зиро­вать резуль­таты. Вво­дим любое имя и получа­ем дос­туп к панели ClearML.

Пер­вым делом опре­деля­ем вер­сию фрей­мвор­ка. Обыч­но ее мож­но най­ти на стра­нице с нас­трой­ками, в раз­деле опи­сания или в про­филе поль­зовате­ля. В слу­чае с ClearML подошел тре­тий вари­ант.

На­ша вер­сия — 1.13. Про­верим, есть ли для нее готовые экс­пло­иты.

Пер­вая же ссыл­ка из Google выводит нас на CVE-2024-24590.

Точка опоры

В ClearML исполь­зует­ся пакет ClearML для Python, через который про­исхо­дит вза­имо­дей­ствие с сер­вером по API. Этот пакет исполь­зует встро­енный в Python модуль Pickle, отве­чающий за сери­али­зацию и десери­али­зацию объ­ектов. Ата­кующий может соз­дать файл Pickle, содер­жащий про­изволь­ный код, и заг­рузить его в качес­тве арте­фак­та в про­ект через API. Затем при вызове метода get клас­са Artifact файл .pkl будет десери­али­зован, что при­ведет к выпол­нению заложен­ного кода.

Что­бы вос­про­извести эту ата­ку, нам нуж­но нас­тро­ить ClearML локаль­но. Для это­го спер­ва получим кон­фиг в меню Settings ? Workspace ? Create new credentials.