dodge-mptc/cve-2023-31446-remote-code-executionCassia Gatewayファームウェアにおける未サニタイズのqueueUrlパラメータを介したリモートコード実行を実証します。これにより、認証されていない攻撃者がroot権限でbashコマンドを注入できるようになります。
このリポジトリには、Dodge Industrial Team が Dodge OPTIFY プラットフォーム向けに発見した CVE-2023-31446 の説明が含まれています。
CVE ID: CVE-2023-31446
ベンダー: Cassia Networks
製品: Cassia Gateway Firmware
バージョン: <2.1.1.230309*
脆弱性: リモートコード実行/リモートコードインジェクション
影響を受ける対象: ゲートウェイ
説明: /bypass/config の queueUrl パラメータがサニタイズされていません。これにより、bash コードを注入し、デバイス起動時に root 権限で実行することが可能になります。
ステータス: ベンダーにより確認済み、修正済み
修正バージョン: 2.1.1.230720*
Cassia は過去に、ゲートウェイが Bluetooth スキャンデータを Amazon SQS サービスにプッシュできるようにする機能を実装しました。
前述の機能の設定は、API エンドポイントで設定できます:
http:///bypass/config?type=sqs&keyId=<"keyId">&key=<"keysecret">&queueUrl=<"queueServiceUrl">
調査に基づくと、SQS 機能はデバイスの起動時にサービスを開始します。
サービスは設定ファイルを読み込み、前述のエンドポイントが設定を上書きします。
サービスは指定された URL を読み込んだ後、root bash の観点から nslookup を実行するため、URL パラメータに埋め込まれた任意のコマンドを実行できます。
このエンドポイントへのアクセスは、デフォルトでは認証されていません。さらに、この機能は Cassia の公式ドキュメントには記載されていませんでした。
攻撃者は bash コマンド ${id} を queueUrl パラメータに埋め込むことができます:
デバイスを再起動すると、ゲートウェイは root 権限でコマンドを実行します（A,AAA クエリを参照）:
Gateway -> Default Gateway (Linux) -> Internet
