Privilege-escalation-ASKEY-Router-RTF3505VW-N1

CVE-2022-47040

ASKEY ルーターにおける権限昇格の脆弱性

デバイス: ASKEY RTF3505VW-N1

ファームウェア: BR_SV_g000_R3505VMN1001_s32_7（他のバージョンでは未テスト）

CLI バージョン: Reduced_CLI_HGU_v13

エクスプロイト：

ASKEY RTF3505VW-N1 デバイスには、SSH 経由で制限付きデフォルトシェルへのアクセスが提供されています：

制限付きシェルは "Reduced_CLI" にアクセスでき、ほとんどの Linux/Unix コマンドの実行を防ぐために環境が制限されています。

制限付きシェルには "tcpdump" コマンドが存在しますが、-z フラグを正しく処理しないため、ルーターの /tmp ディレクトリにローカルファイルを作成し、ルーターの Web GUI で使用されるポート 80 を介して ";/bin/bash" という文字列を含むパケットを注入して "-z sh" に実行させることで、権限昇格に利用できます。注入文字列として ";/bin/bash" を使用することで、busybox/ash コンソールを起動できます。

次の画像のように、ポート 4444 でリッスンする "nc" を設定し、エクスプロイトを含む Bash/Expect スクリプトを実行します：

ルーターとの安定した接続を得るためにリバースシェルが作成されます：

これにより、root 権限を持つ完全な相互運用可能なコンソールを起動して権限を昇格できます（次の画像を参照）：

この昇格を通じて、/etc/passwd (/var/passwd) の内容を変更したり、新しいユーザーを作成したり、制限されたデータ/ファイルにアクセスしたり、その他のシステムリソースを永続的に変更したりできます。

ユーザー "support" はルーターの背面に印刷されて提供されています。場合によっては、このルーターはデフォルトの認証情報を使用します。