Exploit-Titel: KRAMER VIAware 2.5.0719.1034 - Remote Code Execution

Datum: 2019-10-02
Autor: Andrew Hess
Software-Link: https://www.kramerav.com/us/product/viaware
Version: 2.5.0719.1034
CVE: CVE-2019-17124

Verlauf

2019.10.02 - Sicherheitslücke entdeckt
2019.10.02 - Erstkontakt mit dem Hersteller
2019.10.04 - Zweiter Kontakt mit dem Hersteller
2019.10.08 - Keine Antwort vom Hersteller
2019.10.09 - Öffentliche Sicherheitswarnung veröffentlicht

Softwarebeschreibung

Alle erweiterten drahtlosen Präsentations- und Kollaborationstools, die von VIA Campus angeboten werden, können jetzt auf Ihrem eigenen PC genutzt werden, um kollaborative Meetings in Unternehmensumgebungen zu verbessern und interaktives Lernen in Bildungs- und Schulungsumgebungen zu ermöglichen. Von jedem Laptop oder mobilen Gerät aus kann jeder Meeting-Teilnehmer oder Auszubildende im Raum das Hauptdisplay anzeigen, Dokumente in Echtzeit gemeinsam bearbeiten, Dateien beliebiger Größe teilen, das Hauptdisplay in ein digitales Whiteboard verwandeln und vieles mehr. VIAware ermöglicht es Moderatoren außerdem, elektronische Abstimmungen und Prüfungen (e-Polling, e-Exams) einzusetzen, um schnell und sofort zu messen, wie viel Studenten und Auszubildende tatsächlich lernen. VIAware kann bis zu sechs Benutzerbildschirme auf einem Hauptdisplay oder bis zu 12 Bildschirme auf zwei Displays (hardwareabhängig) anzeigen und bietet iOS-Mirroring für MacBook, iPad und iPhone sowie natives Mirroring für Chromebook, Android (Lollipop OS 5.0 oder neuer) und Windows Phone. Entfernte Studenten können problemlos am Unterricht teilnehmen und in Echtzeit zusammenarbeiten, dank integrierter Konferenz- und Office-Apps von Drittanbietern. VIAware bietet die gleiche Sicherheit wie alle VIA-Geräte und kann auf jedem Computer mit Windows 10 installiert werden, was IT-Managern die nötige Flexibilität gibt. Die Software arbeitet nahtlos mit Ihren bestehenden VIA-Clients und dem VIA Site Management zusammen und unterstützt alle VIA Quick Connect-Funktionen wie QR-Code, NFC-Tag und VIA Pad. VIAware ist als einmalige Lizenz mit optionalen jährlichen Upgrade-Abonnements oder als wiederkehrendes Jahresabonnement erhältlich.

Exploitbeschreibung

Die VIAware-Software wird auf einem Gateway-Computer installiert, der über zwei Netzwerkkarten verfügen kann.
Eine Netzwerkkarte für das interne Netzwerk und eine für das externe Netzwerk (Access Point), mit dem sich die Gäste verbinden.

Dieses Szenario ist gefährlich, da nicht blockierte Dienste aus dem externen Netzwerk angegriffen werden können.

In unserem Szenario kann der Webdienst aus dem externen Netzwerk angegriffen werden, wenn er nicht durch eine Firewall-Regel blockiert wird.

Der Webdienst dient dazu, die VIAapp-Software für Gäste bereitzustellen.

Design

POC

Überprüfen auf VIAware-Webdienst

Aufruf der gefährdeten Website (https://viaware/browseSystemFiles.php?path=C:\Windows&icon=browser). Diese Seite ist nur für Administratoren vorgesehen, überprüft die Sitzung jedoch nicht korrekt und lässt anonyme Benutzer auf die Seite zu.

Über diese Seite können wir bereits Informationen über den Server sammeln. Aber es gibt noch mehr.

Die Variable rev="string" kann clientseitig beliebig angepasst werden. Dies ist die Zeichenkette, die in eine Datei geschrieben wird.

In unserem Test haben wir eine Demo-Zeichenkette eingefügt

Wir können auch eine beliebige Datei angeben, in die dieses Skript geschrieben wird. Somit ist es möglich, Shellcode zu platzieren (value="string")

Jetzt die Aktion mit einem Klick auslösen, z.B. auf notepad.exe

Auf der Serverseite wurde die Datei mit Inhalt erstellt

Wenn wir ein exploit.cmd-Skript in den Apache cgi-bin-Ordner gelegt haben, können wir das Skript beliebig über einen Browseraufruf ausführen.

In der Standardinstallation läuft der Apache-Dienst im SYSTEM-Kontext und führt die Skripte als SYSTEM aus.