dp_cryptomg

Un autre outil pour exploiter CVE-2017-9248, une faiblesse cryptographique dans le gestionnaire de boîte de dialogue Telerik UI pour ASP.NET AJAX. L'exploitation permet d'accéder à un utilitaire de gestion de fichiers capable de téléverser des fichiers arbitraires, ce qui mène généralement à une exécution de code à distance.

La vulnérabilité est causée par une fuite d'informations via les messages d'erreur lors du déchiffrement des "DialogParameters" de Telerik, qui sont une série de valeurs de configuration chiffrées. Ces valeurs sont fournies à l'utilisateur, puis renvoyées au serveur comme entrée utilisateur. Les informations divulguées sur le processus de déchiffrement permettent la découverte systématique de la Telerik.Web.UI.DialogParametersEncryptionKey. Pour une analyse approfondie de la vulnérabilité et du fonctionnement de l'outil, consultez notre article de blog : https://blog.blacklanternsecurity.com/p/yet-another-telerik-ui-revisit.

Remerciements

• L'outil original pour exploiter CVE-2017-9248, dp_crypto, a été inestimable pour créer celui-ci. Sans parler qu'il nous a apporté beaucoup de RCE au fil des ans :)

• Les recherches de SR Labs dans leur article de blog Atteindre une exécution de code à distance Telerik 100 fois plus rapide ont servi de base à la technique utilisée dans cet outil et nous ont inspirés à le créer

Utilisation

Exemple (utilisation de base) :

python3 dp_cryptomg.py http://example.com/Telerik.Web.UI.DialogHandler.aspx

Exemple (définition d'une longueur de clé personnalisée et utilisation d'un proxy) :

python3 dp_cryptomg.py -l 40 -p http://127.0.0.1:8080  http://example.com/Telerik.Web.UI.DialogHandler.aspx

usage: dp_cryptomg.py [-h] [-d] [-c COOKIE] [-k KNOWN_KEY] [-v VERSION] [-l LENGTH] [-p PROXY] [-s] [-S] url

positional arguments:
  url                   The target URL

optional arguments:
  -h, --help            show this help message and exit
  -d, --debug           Enable debugging mode
  -c COOKIE, --cookie COOKIE
                        Add optional cookie header to every request
  -k KNOWN_KEY, --known-key KNOWN_KEY
                        The partial or complete known key, in HEX format
  -v VERSION, --version VERSION
                        Specify the Telerik version, if known
  -l LENGTH, --length LENGTH
                        The length of the key, if known
  -p PROXY, --proxy PROXY
                        Optionally set an HTTP proxy
  -s, --simple          Turn off the fancy interface
  -S, --super-simple    Turn off the fancy interface and show minimal output
  -q, --quick-check     Only detect likely vulnerability and skip exploitation (forces simple mode)

Fonctionnalités

• Vitesse accrue par rapport aux outils précédents
• Capable de récupérer la clé à la fois depuis les points de terminaison Telerik.Web.UI.DialogHandler.aspx et Telerik.Web.UI.SpellCheckHandler.axd
• Support de proxy HTTP intégré
• Capable d'ajouter un en-tête de cookie personnalisé à chaque requête

Notes importantes

• Si la longueur de la clé n'est pas la longueur par défaut de 48, vous devez spécifier manuellement la longueur avec le paramètre -l
• Si vous rencontrez des problèmes avec l'interface « fancy », vous pouvez la désactiver avec les options -s ou -S. Cela augmentera également légèrement la vitesse du processus d'exploitation.

Références

• CVE-2017-9248 - https://nvd.nist.gov/vuln/detail/CVE-2017-9248
• Faiblesse cryptographique de la base de connaissances Telerik - https://docs.telerik.com/devtools/aspnet-ajax/knowledge-base/common-cryptographic-weakness
• dp_crypto - https://github.com/bao7uo/dp_crypto
• Telerik 100 fois plus rapide - https://www.srlabs.de/bites/telerik-100-times-faster
• Compromission d'applications Web via Telerik Web UI - https://captmeelo.com/pentest/2018/08/03/pwning-with-telerik.html