CVE-2016-6366

مستودع عام لتحسينات ثغرة EXTRABACON، وهي تنفيذ كود عن بعد لـ Cisco ASA كتبتها مجموعة Equation (NSA) وسربها Shadow Brokers.

يوجد شيلكود محسّن، وسكريبت إيجاد إزاحات LINA، ووحدة Metasploit، و extrabacon-2.0.

سنضيف التصحيحات لمعظم إصدارات 8.x و 9.x في المستقبل القريب بعد اختبار جميع الإصدارات على أجهزة حقيقية.

يستخدم هذا شيلكود محسّنًا، ومراحله أقل من نسخة مجموعة Equation مما يجعله أكثر موثوقية. وهذا يقلل حجم حزمة حمولة SNMP بمقدار 150 بايت تقريبًا. كما أن النسخة المسربة تدعم فقط 8.x، بينما لدينا نسخة تعمل على إصدارات 9.x.

الإصدارات المدعومة (حتى الآن)

باستخدام سكريبت إيجاد إزاحات Lina، يجب أن يكون من السهل دعم جميع إصدارات x86 الضعيفة. نحن نعمل على تحقيق ذلك. ملاحظة: x64 (9.6+؟) يقدم DEP و ASLR. لن يعمل سكريبت الإزاحة والحمولة العامة. ولكن لا يزال من الممكن تعطيل هذه الإصدارات بسهولة.

افتح مشكلة (issue) إذا كنت ترغب في دعم إصدار معين. سيتم تقديم أولويته.

8.x

• 8.0(2)
• 8.0(3)
• 8.0(3)6
• 8.0(4)
• 8.0(4)32
• 8.0(5)
• 8.2(1)
• 8.2(2)
• 8.2(3)
• 8.2(4)
• 8.2(5)
• 8.2(5)33 *
• 8.2(5)41 *
• 8.2(5)55 *
• 8.3(1)
• 8.3(2)
• 8.3(2)39 *
• 8.3(2)40 *
• 8.3(2)-npe * **
• 8.4(1)
• 8.4(2)
• 8.4(3)
• 8.4(4)
• 8.4(4)1 *
• 8.4(4)3 *
• 8.4(4)5 *
• 8.4(4)9 *
• 8.4(6)5 *
• 8.4(7) *

9.x

• 9.0(1) *
• 9.1(1)4 *
• 9.2(1) *
• 9.2(2)8 *
• 9.2(3) *
• 9.2(4) *
• 9.2(4)13 *

* دعم الإصدارات الجديدة ليس جزءًا من تسريب Shadow Brokers الأصلي

** لا يمكننا حاليًا التمييز بين الإصدارات العادية و NPE من سلاسل SNMP. لقد علقنا على إزاحات NPE، لأن NPE نادر جدًا (للاستخدام في التصدير إلى أماكن يكون فيها التشفير ضعيفًا)، لكن في المستقبل، نود تضمين هذه الإصدارات. ربما كخيار منطقي؟

Metasploit

use auxiliary/admin/cisco/cisco_asa_extrabacon

https://github.com/rapid7/metasploit-framework/pull/7359

تم دمج طلب السحب الأولي (pull request) في فرع master لـ Metasploit. سنستمر في المساهمة بمزيد من الإزاحات، والتي قد تكون متاحة هنا في وقت أقرب اعتمادًا على سرعة طلبات السحب المستقبلية.

المساهمة

إذا كان بإمكانك اختبار إصدارات ASA، فكر في عمل fork لهذا المشروع وتوليد الحمولات. يمكننا توليد الحمولات بشكل جماعي، لكننا نريد الاختبار للتأكد من أن كل حمولة تخرج بشكل نظيف.

يمكنك إضافة حمولات جديدة إلى مجلد extrabacon-2.0/improved/ بعد استخدام lina-offsets.py لتوليد الملف. يتم تسمية الوحدات shellcode_verstring.py، حيث verstring هي سلسلة الإصدار التي يُرجعها ASA، مع استبدال النقاط . بشرطات سفلية _

كما يمكنك تقديم طلبات سحب (pull requests) لإزالة أي Python غير ضروري من كود ExtraBacon 2.0.

أداة إيجاد إزاحات Lina

python2 ./lina-offsets.py asa_lina_XXX.elf

ستقوم تلقائيًا بتوليد الإزاحات اللازمة لنقل الثغرة إلى إصدارات أخرى من ASA.

حاليًا، يستغرق تحميل إصدار من برامج ASA الثابتة واختباره وقتًا أطول من توليد الإزاحات لإصدار معين.

الشيء الوحيد الذي لا يحسبه السكريبت هو FIX_EBP، والذي يكون عادة 0x48 (72) أو 0x58 (88). يبدو أن الإصدارات 8.4(1) وما فوق تستخدم 0x48.

يمكنك استخراج Lina بهذه الطريقة:

binwalk -e asaXXX-k8.bin cd _asaXXX-extracted cpio -idv < rootfs.img cp asa/bin/lina /tmp/linaXXX

التراخيص

• كود ExtraBacon 2.0 بلغة Python هو تحت رخصة GPLv2 (لأنه يستخدم Scapy)
• وحدة Metasploit هي تحت رخصة MSF (BSD ثلاثي البنود)
• كل شيء آخر تحت رخصة MIT

المراجع

• http://zerosum0x0.blogspot.com/2016/09/reverse-engineering-cisco-asa-for.html
• https://blog.silentsignal.eu/2016/08/25/bake-your-own-extrabacon/
• https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20160817-asa-snmp