EMQX Dashboard - RCE

Il s'agit d'un plugin malveillant pour EMQX Dashboard qui permet d'exécuter des commandes à distance.

Le code de ce dépôt est principalement basé sur l'une des dernières versions du dépôt EMQX plugin template, sous licence Apache 2.0.

Si vous souhaitez essayer, vous pouvez lancer une image Docker comme expliqué dans la documentation EMQX.

---

Compilation du plugin

1. Installez toutes les dépendances nécessaires, Erlang et rebar3. Dans la dernière version de Kali (Kali 2024.4), vous pouvez utiliser :

sudo apt update
sudo apt install -y build-essential autoconf libncurses5-dev libssl-dev \
    libwxgtk3.2-dev libgl1-mesa-dev libglu1-mesa-dev libpng-dev \
    libssh-dev unixodbc-dev cmake
git clone https://github.com/asdf-vm/asdf.git ~/.asdf --branch v0.13.1
echo '. "$HOME/.asdf/asdf.sh"' >> ~/.bashrc
echo '. "$HOME/.asdf/completions/asdf.bash"' >> ~/.bashrc
source ~/.bashrc
asdf --version
asdf plugin-add erlang https://github.com/asdf-vm/asdf-erlang.git
asdf install erlang 25.3
asdf global erlang 25.3
git clone https://github.com/erlang/rebar3.git
cd rebar3
./bootstrap
sudo chmod +x rebar3
sudo mv rebar3 /usr/local/bin/

2. Créez le répertoire nécessaire et clonez le dépôt du plugin :

mkdir -p ~/.config/rebar3/templates/emqx-plugin-template
git clone https://github.com/ricardojoserf/emqx-RCE ~/.config/rebar3/templates/emqx-plugin-template

3. (Facultatif) Modifiez la commande à exécuter en mettant à jour la ligne 47 dans "src/emqx_plugin_template.erl" :

4. Générez le plugin sous forme de fichier tar.gz :

rebar3 new emqx-plugin my_emqx_plugin
make -C my_emqx_plugin rel
cp my_emqx_plugin/_build/default/emqx_plugrel/my_emqx_plugin-1.0.0.tar.gz . 

5. Installez et exécutez via le EMQX Dashboard dans la section "Plugin".

---

Divulgation

À la suite de discussions avec l'équipe de sécurité d'EMQX en février et mars 2025, ils ont confirmé que cela n'est pas considéré comme une vulnérabilité mais plutôt comme une "fonctionnalité" et n'ont aucune objection à rendre ce dépôt public.

Cependant, à partir de la version 5.8.6 (publiée le 25/3/25), cette fonctionnalité sera atténuée par l'introduction d'"une commande CLI pour autoriser explicitement le paquet avant d'installer un plugin via l'API HTTP ou le Dashboard, améliorant la sécurité et empêchant les installations non autorisées" (source).

Par conséquent, dans les versions antérieures, en ayant accès au EMQX Dashboard, vous pouvez obtenir une RCE, mais dans les versions postérieures à 5.8.6, vous obtiendrez cette erreur :