Titolo exploit: KRAMER VIAware 2.5.0719.1034 - Esecuzione di codice in remoto

Data: 2019-10-02
Autore: Andrew Hess
Link del software: https://www.kramerav.com/us/product/viaware
Versione: 2.5.0719.1034
CVE: CVE-2019-17124

Cronologia

2019.10.02 - Vulnerabilità scoperta
2019.10.02 - Primo contatto con il fornitore
2019.10.04 - Secondo contatto con il fornitore
2019.10.08 - Nessuna risposta dal fornitore
2019.10.09 - Rilasciato advisory di sicurezza pubblico

Descrizione del software

Tutti gli avanzati strumenti di presentazione wireless e collaborazione offerti da VIA Campus possono ora essere utilizzati sul proprio PC per migliorare le riunioni collaborative in ambienti aziendali e l'apprendimento interattivo in ambienti educativi e di formazione. Da qualsiasi laptop o dispositivo mobile, qualsiasi partecipante alla riunione o tirocinante può visualizzare il display principale, modificare documenti insieme in tempo reale, condividere file di qualsiasi dimensione, trasformare il display principale in una lavagna digitale e altro ancora. VIAware consente inoltre ai facilitatori di utilizzare sondaggi elettronici ed esami elettronici per misurare facilmente e immediatamente quanto stanno realmente imparando studenti e tirocinanti. VIAware può mostrare fino a sei schermate utente su un display principale o fino a 12 schermate su due display (dipende dall'hardware) e include il mirroring iOS per MacBook, iPad e iPhone, oltre al mirroring nativo per Chromebook, Android (Lollipop OS 5.0 o successivo) e Windows phone. Gli studenti remoti possono facilmente unirsi alla classe e collaborare in tempo reale con app integrate di videoconferenza e applicazioni per ufficio di terze parti. VIAware offre la stessa sicurezza garantita da tutti i dispositivi VIA e può essere installato su qualsiasi computer con Windows 10, offrendo ai responsabili IT la versatilità di cui hanno bisogno. Il software funziona perfettamente con i client VIA esistenti e con VIA Site Management e offre pieno supporto per tutte le funzionalità di VIA Quick Connect, come QR Code, tag NFC e VIA Pad. VIAware è disponibile come licenza una tantum con abbonamenti opzionali di aggiornamento annuale o come abbonamento annuale ricorrente.

Descrizione dell'exploit

Il software VIAware è installato su un computer gateway che può avere due schede di rete.
Una scheda di rete per la rete interna e una per la rete esterna (punto di accesso) a cui si collegano gli ospiti.

Questo scenario lo rende pericoloso perché i servizi non bloccati possono essere attaccati dalla rete esterna.

Nel nostro scenario, il servizio web può essere attaccato dalla rete esterna se non viene bloccato da una regola del firewall.

Il servizio web viene utilizzato per rendere disponibile il software VIAapp agli ospiti.

Progettazione

POC

Controllo del servizio web VIAware

Chiamare il sito web vulnerabile (https://viaware/browseSystemFiles.php?path=C:\Windows&icon=browser). Questo sito è solo per amministratori, ma non controlla correttamente la sessione e consente l'accesso a utenti anonimi.

Attraverso questo sito possiamo già raccogliere informazioni sul server. Ma c'è di più.

La variabile rev="string" può essere modificata arbitrariamente lato client. Questa è la stringa che viene scritta in un file.

Nel nostro test abbiamo inserito una stringa dimostrativa

Possiamo anche specificare qualsiasi file in cui questo script verrà scritto. Quindi è possibile inserire shellcode (value="string")

Ora attiva l'azione con un clic, ad esempio su notepad.exe

Sul lato server il file è stato creato con il contenuto

Se abbiamo inserito uno script exploit.cmd nella cartella cgi-bin di Apache, possiamo eseguire lo script arbitrariamente tramite una chiamata dal browser.

Nell'installazione standard, il servizio Apache viene eseguito nel contesto SYSTEM ed esegue gli script come SYSTEM.