Pyrescom-Termod-PoC

Dies ist der Proof-of-Concept-Exploit-Code für drei Schwachstellen, die von Jonas Mattsson und Hugo van den Toorn bei Outpost24 Ghost Labs entdeckt wurden. Diese Schwachstellen wurden in der Webserver-Komponente einer Pyrescom Termod4 Zeiterfassungsmaschine entdeckt. Diese Schwachstellen können miteinander verkettet werden und ermöglichen einem entfernten Angreifer, die Authentifizierung zu umgehen, Dateien vom lokalen Dateisystem zu lesen und beliebige Befehle auszuführen. Die folgenden CVE-IDs können verwendet werden, um auf diese Schwachstellen zu verweisen: CVE-2020-23160, CVE-2020-23161 und CVE-2020-23162.

CVE-Details

Diese Schwachstellen sind durch drei CVE-IDs identifiziert, die im Folgenden beschrieben werden.

CVE-2020-23160 - Remote-Code-Ausführung

Remote-Code-Ausführung in Pyrescom Termod4 Zeiterfassungsgeräten vor 10.04k ermöglicht es authentifizierten entfernten Angreifern, beliebige Befehle als Root auf den Geräten auszuführen. Siehe MITRE CVE

CVE-2020-23161 - Lokale Dateieinbindung

Lokale Dateieinbindung in Pyrescom Termod4 Zeiterfassungsgeräten vor 10.04k ermöglicht es authentifizierten entfernten Angreifern, Verzeichnisse zu durchsuchen und vertrauliche Dateien über das Menü Maintenance > Logs und durch Manipulieren des Dateipfads in der URL zu lesen. Siehe MITRE CVE

CVE-2020-23162 - Offenlegung vertraulicher Informationen & schwache Verschlüsselung

Die Offenlegung vertraulicher Informationen und schwache Verschlüsselung in Pyrescom Termod4 Zeiterfassungsgeräten vor 10.04k ermöglicht es entfernten Angreifern, eine Sitzungsdatei zu lesen und Benutzeranmeldedaten im Klartext zu erlangen. Siehe MITRE CVE

Proof-of-Concept

Verketteter Angriff gegen Termod4-Geräte, der es einem nicht authentifizierten Angreifer ermöglicht:

• Klartext-Anmeldedaten zu erlangen, indem exponierte Sitzungsinformationen gelesen und entschlüsselt werden (CVE-2020-23161 & CVE-2020-23162).
• Remote-Code-Ausführung (RCE) als Root durchzuführen (CVE-2020-23161).
• Screenshots des aktuellen physischen Bildschirms des aktiven Geräts aufzunehmen (potenzielles Belauschen der Benutzerinteraktion auf dem physischen Gerät, ungetestet).

Installation

Klone dieses Repository, richte (optional) eine virtuelle Python-Umgebung ein und installiere die Abhängigkeiten. Vorausgesetzt, du hast Python3 und python3-venv installiert (apt-get install python3-venv).

0. (optional) Richte eine virtuelle Umgebung namens 'Pyrescom-CVE' ein: python3 -m venv Pyrescom-CVE, wechsel in das Verzeichnis cd Pyrescom-CVE und aktiviere sie mit . bin/activate.

1. Klone das Repository in das aktuelle Verzeichnis:

git clone https://github.com/Outpost24/Pyrescom-Termod-PoC.git .

2. Installiere die Abhängigkeiten mit Python-pip:

python -m pip install -r requirements.txt

3. Du solltest nun in der Lage sein, das eigentliche Skript auszuführen:

python Pyrescom-poc.py

Verwendung

Die grundlegende Verwendung dieses PoC ist wie folgt:

• Grundlegende Verwendung, erlangt Klartext-Anmeldedaten: python Pyrescom-poc.py http://<target-URI or IP>
• Screenshot der Webserver-Oberfläche aufnehmen python Pyrescom-poc.py http://<target-URI or IP> -s
• Befehl ausführen python Pyrescom-poc.py http://<target-URI or IP> <command>
• Hilfe python Pyrescom-poc.py -h

Lizenz

Verteilt unter der GPL3-Lizenz. Siehe LICENSE für weitere Informationen.

Zusätzliche Informationen

Weiterführende Lektüre

Details zu diesen Schwachstellen und wie sie entdeckt wurden, findest du in unserem Blog - Tales from the frontline: Outsmarted by smart devices.

Behebung

Die Schwachstellen wurden behoben; genaue Details zu den Patch-Versionen sind unbekannt und wurden vom Hersteller nicht bestätigt. Wir haben die Schwachstellen in Version 10.02r entdeckt und bestätigt, dass sie in Version 10.04k behoben sind. Wie Zwischenversionen betroffen sind, ist unbekannt. Daher empfehlen wir, auf die neueste stabile Firmware-Version zu aktualisieren, die für dein Gerät verfügbar ist.

Offenlegungszeitplan

Informationen zu unserer Richtlinie für verantwortungsvolle Offenlegung findest du auf unserer Website.

Kontakt

Jonas Mattsson - LinkedIn

Hugo van den Toorn - @HugovdToorn - LinkedIn

Danksagung

Vielen Dank an Jonas, der die großartige Angewohnheit hat, die erstaunlichsten Entdeckungen an den seltsamsten Orten zu machen. Leider ist heute dein letzter Tag bei Outpost24. Deshalb möchten wir deinen Abschied mit diesen drei CVEs feiern und wünschen dir alles Gute für deine zukünftigen Unternehmungen.

"That might have been a bit out of scope..."

Von Ghostlabs mit Liebe <3