Linux および Windows 向け BMC Bladelogic RSCD リモートエクスプロイト

パスワード変更、ユーザー列挙、リモートコード実行

BMC BladeLogic RSCD エージェントの脆弱性を悪用するエクスプロイト

• CVE-2016-1542 (BMC-2015-0010)
• CVE-2016-1543 (BMC-2015-0011)
• CVE-2016-5063

exploit-db で公開

• BMC_rexec.py
  • https://www.exploit-db.com/exploits/43902/
• BMC_winUsers.py
  • https://www.exploit-db.com/exploits/43934/

BMC_rexec.py の概要

このリモート実行方法は独自の調査によって実現されました。XMLRPC を使用して実行され、Windows でのみテストされています。スクリプトはハングしますが、コマンドは実行されるはずです。

Nick Bloor 氏は、別の手法を用いたはるかに優れた実行エクスプロイトを公開しています:

• https://github.com/NickstaDB/PoC/tree/master/BMC_RSCD_RCE
• https://nickbloor.co.uk/2018/01/01/rce-with-bmc-server-automation/
• https://nickbloor.co.uk/2018/01/08/improving-the-bmc-rscd-rce-exploit/
• https://www.tenable.com/plugins/index.php?view=single&id=91947

BMC_winUsers.py の概要

調査の結果、XML RPC 経由で Windows 版 BMC エージェントから Windows ユーザーを取得できるようになりました。そこで、ernw/insinuator の getUsers ファイルを改良して Windows 版を作成しました(以下のスクリーンショットを参照)。また、ernw/insinuator 版を修正して、デュアルプラットフォーム対応のエクスプロイトにもしました。

クレジット

私のエクスプロイトは https://github.com/ernw/insinuator-snippets/tree/master/bmc_bladelogic を基に改良したものです

• https://www.insinuator.net/2016/03/bmc-bladelogic-cve-2016-1542-and-cve-2016-1543/

テスト用の AWS イメージを提供してくれた Nick Bloor 氏に感謝します。

ベンダーリンク

• https://docs.bmc.com/docs/ServerAutomation/87/release-notes-and-notices/flashes/notification-of-windows-rscd-agent-vulnerability-in-bmc-server-automation-cve-2016-5063
• https://docs.bmc.com/docs/ServerAutomation/87/release-notes-and-notices/flashes/notification-of-critical-security-issue-in-bmc-server-automation-cve-2016-1542-cve-2016-1543