CVE-2019-6447: Servizio HTTP non autenticato di ES File Explorer

Un harness di ricerca implementato indipendentemente, attento alla sicurezza, e un'analisi tecnica per CVE-2019-6447, un servizio HTTP non autenticato esposto da versioni vulnerabili di ES File Explorer per Android.

Solo ricerca autorizzata. Utilizza questo progetto solo su dispositivi di tua proprietà o per i quali hai esplicita autorizzazione al test. Il CLI per impostazione predefinita esegue un probe TCP non invasivo. Le operazioni che richiedono dati del dispositivo o file richiedono un flag esplicito di autorizzazione di laboratorio.

Riepilogo esecutivo

Una volta avviata l'applicazione, il servizio integrato può rimanere raggiungibile sulla rete Wi-Fi locale. Accetta comandi JSON senza autenticare il chiamante. Ciò trasforma un'interfaccia di gestione interna dell'app in una superficie di attacco accessibile dalla rete.

flowchart LR
    A["Attaccante sulla rete adiacente"] -->|"HTTP POST / TCP 59777"| B["Servizio HTTP ES integrato"]
    B --> C["Dispatcher dei comandi"]
    C --> D["Metadati del dispositivo e dell'app"]
    C --> E["File della memoria condivisa"]
    C --> F["Avvio di app Android"]

Cosa dimostra questo repository

• Validazione riproducibile della vulnerabilità senza scansione su Internet
• Un client Python piccolo e tipizzato con timeout rigorosi e gestione degli errori prevedibile
• Separazione tra scoperta non invasiva e operazioni di accesso ai dati
• Test unitari che utilizzano un servizio mock locale anziché un dispositivo reale
• Un'analisi più approfondita della superficie di attacco, del fallimento del confine di fiducia, dell'impatto e della mitigazione

Per l'analisi completa, vedere docs/technical-analysis.md.

Avvio rapido

git clone https://github.com/acloudinthebluesky/CVE-2019-6447-ES-File-Explorer.git
cd CVE-2019-6447-ES-File-Explorer
python3 -m venv .venv
source .venv/bin/activate
python -m pip install -e .

1. Probe di porta non invasivo

esfile-6447 probe --target 192.168.56.10

Questo tenta solo una connessione TCP alla porta 59777. Una porta aperta non è, di per sé, prova che il target sia vulnerabile.

2. Validare il servizio in un laboratorio isolato

esfile-6447 command \
  --target 192.168.56.10 \
  --name getDeviceInfo \
  --i-understand-this-is-an-authorized-lab

3. Dimostrare la lettura arbitraria di file in un laboratorio isolato

esfile-6447 pull \
  --target 192.168.56.10 \
  --remote-path /sdcard/lab-marker.txt \
  --output ./evidence/lab-marker.txt \
  --i-understand-this-is-an-authorized-lab

Utilizzare solo file sintetici. Non raccogliere dati personali come prova dell'impatto.

Configurazione del laboratorio

1. Utilizzare una rete Wi-Fi isolata o una rete emulatore solo host senza route verso sistemi di produzione.
2. Installare l'APK vulnerabile solo su un dispositivo di test dedicato o emulatore.
3. Creare un file marcatore sintetico nella memoria condivisa.
4. Avviare ES File Explorer una volta, quindi verificare che TCP/59777 sia in ascolto.
5. Catturare timestamp, versione dell'app, topologia di rete e le prove minime richieste.
6. Rimuovere l'applicazione vulnerabile e distruggere l'ambiente di test dopo la validazione.

Rilevamento e mitigazione

I difensori possono cercare listener inaspettati su TCP/59777 e richieste HTTP contenenti campi JSON command. I controlli di rete possono ridurre l'esposizione, ma la soluzione duratura è rimuovere o aggiornare l'applicazione vulnerabile. I servizi di gestione incorporati dovrebbero essere vincolati al loopback a meno che l'accesso remoto non sia essenziale, autenticare ogni richiesta, autorizzare ogni operazione e terminare quando non più necessari.

Test

python -m unittest discover -s tests -v

I test avviano un server HTTP mock solo su loopback. Non contattano host esterni.

Etica della ricerca

Questo progetto è destinato alla validazione difensiva, all'istruzione e alla ricerca autorizzata sulle vulnerabilità. Omette deliberatamente la scansione di sottoreti e per impostazione predefinita esegue un probe solo di connettività. Accedere a un dispositivo senza autorizzazione può violare leggi e policy anche quando non vengono conservati file.

Riferimenti e crediti

• NVD: CVE-2019-6447
• Ricerca pubblica originale e PoC di fs0c131y
• Exploit-DB 50070
• Avviso Packet Storm

La scoperta della vulnerabilità e il proof of concept pubblico originale sono accreditati ai ricercatori sopra citati. L'implementazione in questo repository è una reimplementazione educativa indipendente.

Licenza

MIT