dodge-mptc/cve-2023-31446-remote-code-executionDemonstriert Remote-Codeausführung in der Cassia-Gateway-Firmware über einen nicht bereinigten `queueUrl`-Parameter, wodurch nicht authentifizierte Angreifer Bash-Befehle mit Root-Rechten einschleusen können.
Das Repository enthält eine Beschreibung für CVE-2023-31446, entdeckt vom Dodge Industrial Team für die Dodge OPTIFY-Plattform.
CVE-ID: CVE-2023-31446
Anbieter: Cassia Networks
Produkt: Cassia Gateway Firmware
Version: <2.1.1.230309*
Schwachstelle: Remote Code Execution/Remote Code Injection
Betroffen: Gateways
Beschreibung: Der Parameter queueUrl in /bypass/config wird nicht bereinigt. Dies führt zur Injektion von Bash-Code und dessen Ausführung mit Root-Rechten beim Gerätestart.
Status: Vom Anbieter bestätigt, behoben
Gepatchte Version: 2.1.1.230720*
Cassia hat in der Vergangenheit eine Funktion implementiert, die es Gateways ermöglicht, Bluetooth-Scandaten an die SQS-Amazon-Dienste zu senden.
Die Einstellungen für die genannte Funktion konnten über den API-Endpunkt festgelegt werden:
http:///bypass/config?type=sqs&keyId=<"keyId">&key=<"keysecret">&queueUrl=<"queueServiceUrl">
Basierend auf der Untersuchung startet die SQS-Funktion den Dienst beim Booten des Geräts.
Der Dienst lädt eine Konfigurationsdatei, in der der genannte Endpunkt die Einstellungen überschreibt.
Nach dem Laden der angegebenen URL führt der Dienst nslookup aus der Root-Bash-Perspektive aus, was es ermöglicht, jeden in den URL-Parameter eingebetteten Befehl auszuführen.
Der Zugriff auf den Endpunkt ist standardmäßig nicht authentifiziert. Darüber hinaus wurde die Funktion nicht in der offiziellen Cassia-Dokumentation beschrieben.
Ein Angreifer kann den Bash-Befehl ${id} in den Parameter queueUrl einbetten:
Nach einem Neustart des Geräts führt das Gateway den Befehl mit Root-Rechten aus (siehe A,AAA-Abfrage):
Gateway -> Standard-Gateway (Linux) -> Internet
