CVE-2020-7378

CVE-2020-7378 – OpenCRX-Exploit für vorhersagbares Passwort-Reset-Token und XXE

Dieses Repository enthält einen kombinierten Proof-of-Concept-Exploit (PoC) für CVE-2020-7378, eine kritische Schwachstelle in OpenCRX (Versionen bis einschließlich 5.0-20200717). Der Exploit kombiniert zwei Kernprobleme der Anwendung:

1. Eine Schwachstelle durch vorhersagbare Passwort-Reset-Token, die auf der Verwendung von java.util.Random beruht und es Angreifern ermöglicht, gültige Token auf Basis eines Zeitstempels in Millisekunden als Seed zu erzeugen.
2. Eine Blind-XXE-Schwachstelle (XML External Entity) im RestServlet-Endpunkt, die das Auslesen entfernter Dateien vom Dateisystem des Servers erlaubt.

Die Kombination dieser beiden Schwachstellen ermöglicht es einem nicht authentifizierten Angreifer, administrativen Zugriff zu erlangen und vertrauliche serverseitige Dateien zu exfiltrieren.

---

Details zur Schwachstelle

• CVE-ID: CVE-2020-7378

• Betroffenes Produkt: OpenCRX ≤ 5.0-20200717

• Angriffsfläche: Öffentlich zugängliche Verwaltungs- und REST-Schnittstellen

• Grundursachen:

  • Unsichere pseudo-zufällige Token-Erzeugung beim Passwort-Reset
  • Unsicheres XML-Parsing in REST-API-Endpunkten

• Auswirkungen:

  • Unautorisierte Passwort-Resets für beliebige Benutzer (einschließlich Admin)
  • Beliebiger Dateizugriff über XXE-Injektion

• CVSS: 9.1 (Kritisch)

---

Enthaltene Komponenten

• opencrx-exploit.py: Vollständiges Exploit-Skript für die Angriffskette, das sowohl die Token-Vorhersage als auch das XXE-Dateiauslesen durchführt.
• OpenCRXToken.java: Java-Klasse, die die Token-Erzeugungslogik unter Verwendung eines Brute-Force-Seed-Bereichs auf Basis des Request-Timings emuliert

Verwendung

1. Token-Generator kompilieren:

   root@kitploit:~

   javac OpenCRXToken.java
   

2. Exploit ausführen:

   root@kitploit:~

   python3 opencrx-exploit.py <target_user_id>
   

Dies wird Folgendes bewirken:

• Gültige Passwort-Reset-Token auf Basis des Zeitfensters erzeugen und testen.
• Das Passwort des Zielbenutzers zurücksetzen.
• Einen XXE-Payload über die REST-API auslösen, um eine vertrauliche Datei vom Server auszulesen.