Macally WIFISD2-2A82

CVE-2020-29669 の Writeup by Maximilian Barz (Silky) and Daniel Schwendner (code-byter)

==========================

これは、Macally WIFISD2-2A82 トラベルルーター（ファームウェアバージョン: 2.000.010）を悪用するための Writeup です。ゲストユーザーは自分自身のパスワードをリセットできます。このプロセスには、管理者アカウントを乗っ取り、シェルアクセスを得るために利用できる脆弱性があります。管理者ユーザーは /etc/shadow ファイルを読み取ることができるため、各ユーザー（root を含む）のパスワードハッシュをダンプできます。root ハッシュは簡単にクラックでき、システム全体の完全な侵害につながります。これらはすべて、ゲストに提供されることを想定されたゲストアカウントから可能です。

.. image:: images/router.jpg :width: 1200

CVSS 3.1 ベーススコア: 8.7

影響を受けるファイル: /protocol.csp

.. image:: images/base.png :width: 1200

Walkthrough / PoC:

ステップ 1:

Web インターフェースにゲストアカウントでログインします。ゲストと管理者のデフォルトパスワードは空です。

.. image:: images/web_login.png :width: 1400

認証に成功すると、同様の画面が表示されるはずです。

.. image:: images/dashboard.png :width: 1200

| | |

ステップ 2:

設定メニューのユーザーマネージャーに移動します。そこで現在のユーザーのパスワードを変更できます。

.. image:: images/password_change.png :width: 1800

ゲストは自分のパスワードをリセットできます。空欄のフィールドに入力し、BurpSuite でリクエストをキャプチャします。

.. image:: images/burp_1.png :width: 2100

name の値を admin に変更し、リクエストを転送します。

.. image:: images/burp_2.png :width: 2100

Web インターフェースに「パスワードが正常に変更されました」というポップアップボックスが表示されます。

.. image:: images/password_changed.png :width: 1400

| |

ステップ 3:

先ほど設定したパスワードを使用して、telnet で admin としてログインします。

.. image:: images/telnet_login.png :width: 1200

管理者は /etc/shadow ファイルを読み取ることができ、root ハッシュが露出します。

.. image:: images/etc_password.png :width: 1200

エクスプロイト

一連のエクスプロイトプロセスは Python スクリプトで自動化されています。root シェルを起動する（または root ハッシュをクラックする）には、macally_exploit.py を実行します。

.. code:: python

python3 macally_exploit.py 10.10.10.254

.. image:: images/exploit.png :width: 1600

CVE MITRE エントリ: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-29669。

Exploit-DB エントリ: https://www.exploit-db.com/exploits/49256。

.. footer::

Maximilian Barz (OSCP), メール: [email protected], Twitter: S1lky_1337

Daniel Schwendner, メール: [email protected], Instagram: code_byter

CVE-2020-29669

人気