CVE-2022-45600

Produkthandbuch: https://kylaconnect.com/download-center/

Die Schwachstelle wurde dem Sicherheitsteam von Aztech via [email protected] am 7. Juni 2022 gemeldet, ohne Antwort bis zum 21. Februar 2023.

• Kylaconnect - Offenlegungsrichtlinie für Sicherheitslücken

Details zur Schwachstelle

Eine Command Injection-Schwachstelle (die zu einer Privilegienausweitung führt) existiert in mehreren Webseiten (siehe unten), die es einem web-authentifizierten Benutzer ermöglicht, beliebige Shell-Befehle auf dem Gerät als root-Benutzer auszuführen. Das root-Benutzerkonto konnte mit keinen anderen herkömmlichen Methoden (z. B. Telnet) zugegriffen werden und wurde durch die Firmware-Konfiguration gesperrt. Diese Schwachstelle umgeht diese Konfiguration und erhöht die Privilegien eines Angreifers auf root.

Liste der betroffenen Webseiten

• Zeile 283 in status_wireless.php
• Zeile 54 in config_wps.php
• Zeile 81 in assoc_table.php
• Zeile 55 in config_macfilter.php
• Zeile 54 in config_wps.php

Es fehlt eine Eingabevalidierung und -bereinigung in der obigen Liste von Webseiten, die die Verarbeitung eines GET-Parameters id betreffen, der in einen Shell-Befehl eingespeist wird, der als root-Benutzer ausgeführt wird. Die Befehlsinjektion wird durchgeführt, indem der vorhergehende legitime Shell-Befehl mit einem Semikolon ; beendet wird, gefolgt von einem beliebigen Shell-Befehl, der injiziert werden soll.

Auszug zum Abrufen des GET-Parameters id

• der Wert von id wird in der Variable interface_id gespeichert

Weiter unten im PHP-Code wird interface_id ohne Validierung oder Bereinigung in mehrere exec()-Aufrufe eingespeist

Beweis des Konzepts

Die folgenden Schritte zeigen, wie diese Schwachstelle reproduziert werden kann

1. Starten Sie das Produkt physisch oder emuliert
2. Ändern Sie die Anmeldeinformationen des PoC-Bash-Skripts, um sich beim Webdienst zu authentifizieren
3. Führen Sie das PoC-Bash-Skript aus, um eine root-Shell auf dem Gerät zu erhalten