CVE-2016-6366

Dépôt public pour les améliorations de l'exploit EXTRABACON, une exécution de code à distance pour Cisco ASA écrite par l'Equation Group (NSA) et divulguée par les Shadow Brokers.

Il contient un shellcode amélioré, un script de recherche d'offset LINA, un module Metasploit et extrabacon-2.0.

Nous ajoutons des correctifs pour la plupart des versions de 8.x et 9.x dans un avenir proche, après avoir testé toutes les versions sur du matériel réel.

Ceci utilise un shellcode amélioré, avec moins d'étapes que la version de l'Equation Group, ce qui le rend plus fiable. Cela permet de réduire le paquet SNMP d'environ 150 octets. De plus, la version divulguée ne supporte que le 8.x, nous l'avons faite fonctionner sur des versions 9.x.

Versions supportées (jusqu'à présent)

Avec le script de recherche d'offset Lina, il devrait être trivial de supporter toutes les versions x86 vulnérables. Nous travaillons justement à cela. REMARQUE : x64 (9.6+ ?) introduit DEP et ASLR. Le chercheur d'offset et le payload générique ne fonctionneront pas. Il devrait cependant toujours être possible de faire crasher facilement ces versions.

Ouvrez une issue si vous souhaitez que nous supportions une version spécifique. Elle passera en tête de liste.

8.x

8.0(2)
8.0(3)
8.0(3)6
8.0(4)
8.0(4)32
8.0(5)
8.2(1)
8.2(2)
8.2(3)
8.2(4)
8.2(5)
8.2(5)33 *
8.2(5)41 *
8.2(5)55 *
8.3(1)
8.3(2)
8.3(2)39 *
8.3(2)40 *
8.3(2)-npe * **
8.4(1)
8.4(2)
8.4(3)
8.4(4)
8.4(4)1 *
8.4(4)3 *
8.4(4)5 *
8.4(4)9 *
8.4(6)5 *
8.4(7) *

9.x

9.0(1) *
9.1(1)4 *
9.2(1) *
9.2(2)8 *
9.2(3) *
9.2(4) *
9.2(4)13 *

* Nouveau support de version ne faisant pas partie de la fuite originale des Shadow Brokers

** Nous ne pouvons actuellement pas distinguer les versions normales des versions NPE à partir des chaînes SNMP. Nous avons commenté les offsets NPE, car NPE est très rare (elle sert à l'exportation vers des endroits où le chiffrement est médiocre), mais à l'avenir, nous aimerions intégrer ces versions. Peut-être comme une option booléenne ?

Metasploit

use auxiliary/admin/cisco/cisco_asa_extrabacon

https://github.com/rapid7/metasploit-framework/pull/7359

Notre pull request initiale a été fusionnée dans la branche master de Metasploit. Nous continuerons à fournir d'autres offsets, qui pourraient être disponibles ici plus tôt en fonction de la latence des futures pull requests.

Contribuer

Si vous pouvez tester des versions ASA, envisagez de forker ce projet et de générer des payloads. Nous pourrions générer les payloads en masse, mais nous voulons tester pour nous assurer que chaque payload se termine proprement.

Vous pouvez ajouter de nouveaux payloads dans le dossier extrabacon-2.0/improved/ après avoir utilisé lina-offets.py pour générer le fichier. Les modules sont nommés shellcode_verstring.py, où verstring est la chaîne de version renvoyée par l'ASA, les points . étant remplacés par des underscores _

Soumettez également des pull requests pour retirer tout code Python superflu du code ExtraBacon 2.0.

Chercheur d'offset Lina

python2 ./lina-offsets.py asa_lina_XXX.elf

Générera automatiquement les offsets nécessaires pour porter l'exploit vers d'autres versions d'ASA.

Actuellement, il nous faut plus de temps pour charger une version du firmware ASA et la tester que pour générer les offsets d'une version spécifique.

La seule chose que le script ne calcule pas est FIX_EBP, qui est généralement 0x48 (72) ou 0x58 (88). Il semble que 8.4(1) et supérieur utilisent 0x48.

Vous pouvez extraire Lina comme ceci :

binwalk -e asaXXX-k8.bin cd _asaXXX-extracted cpio -idv < rootfs.img cp asa/bin/lina /tmp/linaXXX

Licences

Le code Python d'ExtraBacon 2.0 est sous GPLv2 (car il utilise Scapy)
Le module Metasploit est sous licence MSF (BSD 3 clauses)
Tout le reste est sous licence MIT

Populaires

CVE-2016-6366

CVE-2016-6366

Versions supportées (jusqu'à présent)

Metasploit

Contribuer

Chercheur d'offset Lina

Licences

Références