Exploit Title: KRAMER VIAware 2.5.0719.1034 - Ejecución Remota de Código

Fecha: 2019-10-02
Autor: Andrew Hess
Enlace del software: https://www.kramerav.com/us/product/viaware
Versión: 2.5.0719.1034
CVE: CVE-2019-17124

Historial

2019.10.02 - Vulnerabilidad descubierta
2019.10.02 - Contacto inicial con el proveedor
2019.10.04 - Segundo contacto con el proveedor
2019.10.08 - Sin respuesta del proveedor
2019.10.09 - Aviso de seguridad público publicado

Descripción del software

Todas las herramientas avanzadas de presentación inalámbrica y colaboración ofrecidas por VIA Campus ahora pueden usarse en su propio PC para mejorar reuniones colaborativas en entornos corporativos y aprendizaje interactivo en entornos educativos y de capacitación. Desde cualquier computadora portátil o dispositivo móvil, cualquier participante de la reunión o aprendiz en la sala puede ver la pantalla principal, editar documentos juntos en tiempo real, compartir archivos de cualquier tamaño, convertir la pantalla principal en una pizarra digital y más. VIAware también permite a los facilitadores usar encuestas electrónicas y exámenes electrónicos para medir fácil e instantáneamente cuánto están aprendiendo realmente los estudiantes y aprendices. VIAware puede mostrar hasta seis pantallas de usuario en una pantalla principal o hasta 12 pantallas en dos pantallas (dependiendo del hardware) y cuenta con duplicación de iOS para MacBook, iPad y iPhone, así como duplicación nativa para Chromebook, Android (Lollipop OS 5.0 o más reciente) y Windows Phone. Los estudiantes remotos pueden unirse fácilmente a la clase y colaborar en tiempo real con aplicaciones de videoconferencia y ofimática de terceros integradas. VIAware ofrece la misma seguridad que todos los dispositivos VIA y se puede instalar en cualquier computadora con Windows 10, brindando a los administradores de TI la versatilidad que necesitan. El software funciona sin problemas con sus clientes VIA existentes y VIA Site Management, y ofrece soporte completo para todas las funciones de VIA Quick Connect, como código QR, etiqueta NFC y VIA Pad. VIAware está disponible como una licencia única con suscripciones de actualización anual opcionales o como una suscripción anual recurrente.

Descripción del exploit

El software VIAware se instala en una computadora puerta de enlace que puede tener dos tarjetas de red.
Una tarjeta de red para la red interna y otra para la red externa (punto de acceso) a la que se conectan los invitados.

Este escenario lo hace peligroso porque los servicios no bloqueados pueden ser atacados desde la red externa.

En nuestro escenario, el servicio web puede ser atacado desde la red externa si no está bloqueado por una regla de firewall.

El servicio web se utiliza para poner el software VIAapp a disposición de los invitados.

Diseño

POC

Verificar el Servicio Web de VIAware

Llamar al sitio web vulnerable (https://viaware/browseSystemFiles.php?path=C:\Windows&icon=browser). Este sitio es solo para administradores, pero no verifica la sesión correctamente y permite que usuarios anónimos accedan al sitio.

A través de este sitio ya podemos recopilar información sobre el servidor. Pero hay más.

La variable rev="string" se puede ajustar arbitrariamente en el lado del cliente. Esta es la cadena que se escribe en un archivo.

En nuestra prueba colocamos una cadena de demostración

También podemos especificar cualquier archivo en el que se escribirá este script. Por lo tanto, es posible colocar shellcode (value="string")

Ahora desencadena la acción con un clic, por ejemplo, en notepad.exe

En el lado del servidor, el archivo se creó con contenido

Si hemos colocado un script exploit.cmd en la carpeta cgi-bin de Apache, podemos ejecutar el script arbitrariamente desde una llamada del navegador.

En la instalación estándar, el servicio Apache se ejecuta en el contexto de SYSTEM y ejecuta los scripts como SYSTEM.