CVE-2022-45600

Manual del producto: https://kylaconnect.com/download-center/

La vulnerabilidad fue reportada al equipo de seguridad de Aztech a través de [email protected] el 7 de junio de 2022, sin respuesta al 21 de febrero de 2023

• Divulgación de Vulnerabilidades de Kylaconnect

Detalles de la Vulnerabilidad

Existe una vulnerabilidad de Inyección de Comandos (que lleva a una Escalada de Privilegios) en múltiples páginas web (lista a continuación), que permite a un usuario autenticado en la web ejecutar comandos arbitrarios de shell en el dispositivo como el usuario root. La cuenta de usuario root no podía ser accedida por ningún otro método convencional (p. ej., Telnet), y ha sido bloqueada por la configuración del firmware. Esta vulnerabilidad evita esa configuración y eleva los privilegios de un atacante a root.

Lista de páginas web afectadas

• Línea 283 en status_wireless.php
• Línea 54 en config_wps.php
• Línea 81 en assoc_table.php
• Línea 55 en config_macfilter.php
• Línea 54 en config_wps.php

Falta validación y saneamiento de entrada en la lista anterior de páginas web, lo que afecta el procesamiento de un parámetro GET, id, que se introduce en un comando de shell que se ejecuta como el usuario root. La inyección de comandos se realiza terminando el comando legítimo de shell anterior con un punto y coma ;, seguido de un comando de shell arbitrario para inyectar.

Fragmento de la recuperación del parámetro GET id

• el valor de id se almacena en la variable interface_id

Más abajo en los códigos PHP, el interface_id se introduce en múltiples llamadas exec() sin validación ni saneamiento

Prueba de Concepto

Los siguientes pasos enumeran cómo reproducir esta vulnerabilidad

1. Iniciar el producto físicamente o emulado
2. Modificar las credenciales del script bash de la PoC para autenticarse en el servicio web
3. Ejecutar el script bash de la PoC para obtener un shell root en el dispositivo