homjxi0e/cve-2017-3881-ciscoExploit di esecuzione di codice in remoto (prova di concetto) per CVE-2017-3881 che interessa switch Cisco Catalyst con telnet abilitato, includendo un resoconto dettagliato dello sviluppo dell'exploit e consegna interattiva del payload.
10 Aprile 2017
Hai ancora telnet abilitato sui tuoi switch Catalyst? Pensaci due volte, ecco un exploit proof-of-concept di esecuzione di codice remoto per lo switch Catalyst 2960 con il firmware suggerito più recente. Dai un'occhiata al codice dell'exploit qui. Quello che segue è un resoconto dettagliato del processo di sviluppo dell'exploit per la vulnerabilità trapelata dall'archivio della CIA il 7 marzo 2017 e divulgata pubblicamente da Cisco Systems il 17 marzo 2017. Al momento della stesura di questo post non è disponibile alcuna patch. Ciononostante esiste una soluzione: disabilitare telnet e utilizzare SSH.
Una serie di documenti della CIA sono stati divulgati il 7 marzo 2017 e pubblicati su WikiLeaks. Tra le altre pubblicazioni c'era un'interessante vulnerabilità di esecuzione di codice pre-autenticazione che colpiva diversi switch Cisco. Questa vulnerabilità è denominata ROCEM nei documenti divulgati. Sebbene siano stati menzionati pochissimi dettagli tecnici, alcune cose spiccano.
I documenti di Vault 7 fanno luce sul processo di test dell'exploit effettivo. Nessun codice sorgente dell'exploit è disponibile nella fuga. Due casi d'uso sono evidenziati: lo strumento può essere avviato in modalità interattiva o in modalità set. La modalità interattiva invia il payload tramite telnet e presenta immediatamente all'attaccante una shell dei comandi nel contesto della stessa connessione telnet. Citazione dal documento:
