freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

Numpy反序列化命令执行(CVE-2019-6446)浅析
2019-01-28 08:30:50

*本文中涉及到的相关漏洞已报送厂商并得到修复,本文仅限技术研究与讨论,严禁用于非法用途,否则产生的一切后果自行承担。

*本文原创作者:nancyy,本文属FreeBuf原创奖励计划,未经许可禁止转载

numpy.jpg

0x01 前言

NumPy是一个功能强大的Python库,主要用于对多维数组执行计算。NumPy提供了大量的库函数和操作,可以帮助程序员轻松地进行数值计算。这类数值计算广泛用于以下任务:

机器学习模型:在编写机器学习算法时,需要对矩阵进行各种数值计算。例如矩阵乘法、换位、加法等。NumPy提供了一个非常好的库,用于简单(在编写代码方面)和快速(在速度方面)计算。NumPy数组用于存储训练数据和机器学习模型的参数。

图像处理和计算机图形学:计算机中的图像表示为多维数字数组。NumPy成为同样情况下最自然的选择。实际上,NumPy提供了一些优秀的库函数来快速处理图像。例如,镜像图像、按特定角度旋转图像等。

数学任务:NumPy对于执行各种数学任务非常有用,如数值积分、微分、内插、外推等。因此,当涉及到数学任务时,它形成了一种基于Python的MATLAB的快速替代。

0x02 影响范围及利用条件

NumPy <=1.16.0

用户加载恶意数据源造成命令执行。

0x03 漏洞分析

我们以ubuntu最新版pip源下载的numpy 1.16.0版本为例进行分析。漏洞点位于npyio.py的第268行,file字符串对象经过格式验证,如果不满足默认的numpy以及zip格式,将会尝试使用序列化的方式进行读取文件。如果是老司机的话,估计大概知道是什么问题了。

numpy调用图.png

我们顺着pickle.load函数继续跟进看看。最终会发现他会逐字节的去读取命令。

pickle.png

如下图,pickle默认支持很多命令语句。

picklecmd.png

有了这些数据,我们就开始构造命令执行了。在构造命令执行之前,我们得先导入我们所需要的包,以及一个可以执行反射的函数。通过代码检索,发现pickle的操作符号“c”和操作符“R”,分别代表着导入和调用两个操作。

那接下来我们开始构造执行“ls”的命令函数了。

payload.png

通过上面的操作符号,我们编写出对应的命令,熟悉汇编的同学就看出来了,左边是命令符号,右边是数据。

然后我们把这个数据转化成pickle能够理解的语言。

cposix

system

p0

(S'ls'

p1

tp2

Rp3

.

然后我们把这个payload文件,用numpy.load函数读取一下。

CF27AEDF-3A8F-4569-91D3-6FF96B288968.jpg

就看到对应的效果了。

0x04 修复方案

2019年1月15日,官方在issue中确认了该漏洞,并准备在下一个小版本中修复

暂时缓解措施,将默认支持allow_pickle函数去掉。

参考链接

https://github.com/numpy/numpy/commit/a2bd3a7eabfe053d6d16a2130fdcad9e5211f6bb

https://bugzilla.suse.com/show_bug.cgi?id=1122208

*本文原创作者:nancyy,本文属FreeBuf原创奖励计划,未经许可禁止转载

# 反序列化 # Numpy # CVE-2019-6446
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者