Privilegieneskalation-ASKEY-Router-RTF3505VW-N1

CVE-2022-47040

Schwachstelle zur Privilegieneskalation bei ASKEY-Routern

Gerät: ASKEY RTF3505VW-N1

Firmware: BR_SV_g000_R3505VMN1001_s32_7 (in anderen Versionen nicht getestet)

CLI-Version: Reduced_CLI_HGU_v13

Exploit:

ASKEY-RTF3505VW-N1-Geräte bieten über SSH Zugriff auf eine eingeschränkte Standard-Shell:

Die eingeschränkte Shell hat Zugriff auf eine "Reduced_CLI", und die Umgebung ist so eingeschränkt, dass die Ausführung der meisten Linux/Unix-Befehle verhindert wird.

Der Befehl "tcpdump" ist in der eingeschränkten Shell vorhanden und verarbeitet das Flag -z nicht korrekt. Daher kann er zur Privilegieneskalation genutzt werden, indem eine lokale Datei im /tmp-Verzeichnis des Routers erstellt und Pakete über Port 80 (der für die Weboberfläche des Routers verwendet wird) mit der Zeichenkette ";/bin/bash" injiziert werden, um von "-z sh" ausgeführt zu werden. Durch die Verwendung von ";/bin/bash" als injizierte Zeichenkette können wir eine busybox/ash-Konsole starten.

Wie auf den nächsten Bildern zu sehen, richten wir einen lauschenden "nc" auf Port 4444 ein und führen ein Bash/Expect-Skript mit dem Exploit aus:

Die Reverse-Shell wird erstellt, um eine stabile Verbindung zum Router zu erhalten:

Somit ist es möglich, Privilegien zu eskalieren, indem eine vollständig interoperable Konsole mit Root-Rechten gestartet wird (siehe nächstes Bild):

Durch diese Eskalation können wir den Inhalt von /etc/passwd (/var/passwd) ändern, neue Benutzer erstellen, auf geschützte Daten/Dateien zugreifen oder jede andere Systemressource dauerhaft verändern.

Der Benutzer "support" ist auf der Rückseite des Routers aufgedruckt. In einigen Fällen verwenden diese Router Standard-Zugangsdaten.