TFTPlunder: ein Exploit für CVE-2023-29930

Dies ist ein Exploit-Skript für eine blinde Datei-Lese-/Schreib-Schwachstelle im Genesys (ehemals InIn) TFTP-Provisioning-Server.

Schwachstelleninformationen

Diese Schwachstelle ist auf uneingeschränkte Konfigurationsoptionen für den TFTP-Stammpfad und Dateierweiterungen zurückzuführen. Mit anderen Worten: Über die Admin-Oberfläche können Sie das TFTP auf ein beliebiges Verzeichnis ändern und beliebige Dateien hoch- oder herunterladen.

(Beachten Sie jedoch, dass TFTP als Protokoll keine Dateiauflistung erlaubt, was dies zu einer Blinden Datei-Lese-Schwachstelle macht.)

Besonders verschärft wird dies dadurch, dass der Server standardmäßig fest codierte bekannte Anmeldeinformationen verwendet und den Benutzer nicht zwingt, diese zu ändern.

Klassifikationstechnisch weist es Aspekte der folgenden CWEs auf:

• CWE-22: Unsachgemäße Begrenzung eines Pfadnamens auf ein eingeschränktes Verzeichnis
• CWE-434: Uneingeschränktes Hochladen einer Datei mit gefährlichem Typ
• CWE-522: Unzureichend geschützte Anmeldeinformationen

Alle bisher bekannten Versionen sind anfällig.

Abhilfe

Die derzeit beste Abhilfe besteht darin, die Administrations-Anmeldeinformationen für den TFTP-Konfigurationsserver zu aktualisieren.

Verwendung dieses Exploits

Ich empfehle, dies entweder mit einem Jupyter-Notebook oder der Python-REPL-Schleife zu verwenden, oder für fortgeschrittenere Anwendungsfälle ein eigenes Skript zu schreiben und diese Datei zu importieren. Importieren Sie einfach die Haupt-Python-Datei, instantiieren Sie die Klasse und rufen Sie nach Belieben get_file und put_file auf.

$ python3
>>> from tftplunder import TFTPlunder
>>> tp=TFTPlunder("example.com")
>>> tp.get_file("C:/Windows/Panther/Unattended.xml")
>>> tp.get_file("C:/ProgramData/ntuser.pol")

usw.

Hinweis: Siehe https://github.com/jtpereyda/regpol für Hilfe beim Dekodieren von ntuser.pol

und siehe Listen wie https://github.com/soffensive/windowsblindread/blob/master/windows-files.txt für Beispiele anderer Dateien, die Sie ausprobieren können.