中危 Graphing 'renderLocalView()' 远程代码执行漏洞

CVE编号

CVE-2013-5093

利用情况

EXP 已公开

补丁情况

官方补丁

披露时间

2013-09-27

漏洞描述

Graphite是可扩展的企业级实时绘图工具。 Graphite 0.9.5-0.9.10版本的graphite-web中，render/views.py的函数renderLocalView使用pickle Python模块的方式不安全。可使远程攻击者通过特制的序列化对象执行任意代码。

解决建议

目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：https://pypi.python.org/pypi/graphite-web/Graphite:https://github.com/graphite-project/graphite-web/blob/master/docs/releases/0_9_11.rst

参考链接
http://ceriksen.com/2013/08/20/graphite-remote-code-execution-vulnerability-advisory/
http://secunia.com/advisories/54556
http://www.exploit-db.com/exploits/27752
http://www.osvdb.org/96436
http://www.securityfocus.com/bid/61894
https://github.com/graphite-project/graphite-web/blob/master/docs/releases/0_9_11.rst
https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/u...

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	graphite_project	graphite	0.9.10	-
	运行在以下环境
	应用	graphite_project	graphite	0.9.5	-
	运行在以下环境
	应用	graphite_project	graphite	0.9.6	-
	运行在以下环境
	应用	graphite_project	graphite	0.9.7	-
	运行在以下环境
	应用	graphite_project	graphite	0.9.8	-
	运行在以下环境
	应用	graphite_project	graphite	0.9.9	-
	运行在以下环境
	系统	debian_10	graphite-web	*		Up to (excluding) 0.9.12+debian-1
	运行在以下环境
	系统	debian_12	graphite-web	*		Up to (excluding) 0.9.12+debian-1
	运行在以下环境
	系统	debian_sid	graphite-web	*		Up to (excluding) 0.9.12+debian-1
	运行在以下环境
	系统	fedora_EPEL_5	graphite-web	*		Up to (excluding) 0.9.10-9.el5
	运行在以下环境
	系统	fedora_EPEL_6	graphite-web	*		Up to (excluding) 0.9.12-1.el6

阿里云评分 6.3

• 攻击路径 远程
• 攻击复杂度 容易
• 权限要求 无需权限
• 影响范围 有限影响
• EXP成熟度 EXP 已公开
• 补丁情况 官方补丁
• 数据保密性 数据泄露
• 数据完整性 传输被破坏
• 服务器危害 服务器失陷
• 全网数量 N/A

CWE-ID	漏洞类型
CWE-94	对生成代码的控制不恰当（代码注入）

Exp相关链接

• https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/unix/webapp/graphite_pickle_exec.rb
• https://www.exploit-db.com/exploits/27752

- avd.aliyun.com