CVE-2019-6447: Servicio HTTP sin autenticación de ES File Explorer

Un harness de investigación y análisis técnico implementado de forma independiente, consciente de la seguridad, para CVE-2019-6447, un servicio HTTP sin autenticación expuesto por versiones vulnerables de ES File Explorer para Android.

Solo para investigación autorizada. Utilice este proyecto únicamente contra dispositivos de su propiedad o para los que tenga permiso explícito de prueba. La CLI utiliza por defecto una sonda TCP no invasiva. Las operaciones que solicitan datos del dispositivo o archivos requieren un marcador explícito de autorización de laboratorio.

Resumen ejecutivo

Una vez lanzada la aplicación, el servicio embebido puede permanecer accesible en la red Wi-Fi local. Acepta comandos JSON sin autenticar al solicitante. Esto convierte una interfaz de gestión interna de la aplicación en una superficie de ataque accesible desde la red.

flowchart LR
    A["Adjacent-network attacker"] -->|"HTTP POST / TCP 59777"| B["Embedded ES HTTP service"]
    B --> C["Command dispatcher"]
    C --> D["Device and app metadata"]
    C --> E["Shared-storage files"]
    C --> F["Android app launch"]

Lo que demuestra este repositorio

• Validación reproducible de la vulnerabilidad sin escaneo a nivel de Internet
• Un cliente Python pequeño y tipado con tiempos de espera estrictos y manejo predecible de errores
• Separación entre operaciones de descubrimiento no invasivas y de acceso a datos
• Pruebas unitarias que utilizan un servicio simulado local en lugar de un dispositivo real
• Un análisis más profundo de la superficie de ataque, fallo de límite de confianza, impacto y remediación

Para ver el análisis completo, consulte docs/technical-analysis.md.

Inicio rápido

git clone https://github.com/acloudinthebluesky/CVE-2019-6447-ES-File-Explorer.git
cd CVE-2019-6447-ES-File-Explorer
python3 -m venv .venv
source .venv/bin/activate
python -m pip install -e .

1. Sonda de puerto no invasiva

esfile-6447 probe --target 192.168.56.10

Esto solo intenta una conexión TCP al puerto 59777. Un puerto abierto no es, por sí mismo, prueba de que el objetivo sea vulnerable.

2. Validar el servicio en un laboratorio aislado

esfile-6447 command \
  --target 192.168.56.10 \
  --name getDeviceInfo \
  --i-understand-this-is-an-authorized-lab

3. Demostrar lectura arbitraria de archivos en un laboratorio aislado

esfile-6447 pull \
  --target 192.168.56.10 \
  --remote-path /sdcard/lab-marker.txt \
  --output ./evidence/lab-marker.txt \
  --i-understand-this-is-an-authorized-lab

Utilice únicamente archivos sintéticos. No recolecte datos personales como prueba del impacto.

Configuración del laboratorio

1. Utilice una red Wi-Fi aislada o una red de emulador solo anfitrión sin ruta a sistemas de producción.
2. Instale el APK vulnerable solo en un dispositivo de prueba dedicado o emulador.
3. Cree un archivo marcador sintético bajo el almacenamiento compartido.
4. Lance ES File Explorer una vez, luego valide que TCP/59777 esté escuchando.
5. Capture marcas de tiempo, versión de la aplicación, topología de red y la evidencia mínima requerida.
6. Elimine la aplicación vulnerable y destruya el entorno de prueba después de la validación.

Detección y remediación

Los defensores pueden buscar oyentes inesperados en TCP/59777 y solicitudes HTTP que contengan campos JSON command. Los controles de red pueden reducir la exposición, pero la solución duradera es eliminar o actualizar la aplicación vulnerable. Los servicios de gestión embebidos deben vincularse a loopback a menos que el acceso remoto sea esencial, autenticar cada solicitud, autorizar cada operación y finalizar cuando ya no sean necesarios.

Pruebas

python -m unittest discover -s tests -v

Las pruebas inician un servidor HTTP simulado solo en loopback. No contactan con anfitriones externos.

Ética de la investigación

Este proyecto está destinado a la validación defensiva, la educación y la investigación autorizada de vulnerabilidades. Omite deliberadamente el escaneo de subredes y por defecto utiliza una sonda solo de conectividad. Acceder a un dispositivo sin permiso puede violar leyes y políticas incluso cuando no se retengan archivos.

Referencias y créditos

• NVD: CVE-2019-6447
• Investigación pública original y PoC por fs0c131y
• Exploit-DB 50070
• Advertencia de Packet Storm

El descubrimiento de la vulnerabilidad y la prueba de concepto pública original se atribuyen a los investigadores mencionados anteriormente. La implementación en este repositorio es una reimplementación educativa independiente.

Licencia

MIT