Privilege-escalation-ASKEY-Router-RTF3505VW-N1

CVE-2022-47040

ASKEY 라우터의 권한 상승 취약점

장치: ASKEY RTF3505VW-N1

펌웨어: BR_SV_g000_R3505VMN1001_s32_7 (다른 버전에서는 테스트되지 않음)

CLI 버전: Reduced_CLI_HGU_v13

익스플로잇:

ASKEY RTF3505VW-N1 장치는 ssh를 통해 제한된 기본 셸로 접근할 수 있게 제공됩니다:

제한된 셸은 "Reduced_CLI"에 접근할 수 있으며, 대부분의 linux/unix 명령 실행을 방지하도록 환경이 제한되어 있습니다.

제한된 셸에는 "tcpdump" 명령이 있으며, -z 플래그를 올바르게 처리하지 못합니다. 따라서 라우터의 /tmp 디렉터리에 로컬 파일을 생성하고, 라우터의 웹 GUI에서 사용되는 포트 80을 통해 ";/bin/bash" 문자열이 포함된 패킷을 주입하여 "-z sh"에 의해 실행되게 함으로써 권한을 상승시킬 수 있습니다. 주입 문자열로 ";/bin/bash"를 사용하면 busybox/ash 콘솔을 생성할 수 있습니다.

다음 이미지에서 볼 수 있듯이, 포트 4444에서 수신 대기하는 "nc"를 설정하고 익스플로잇이 포함된 Bash/Expect 스크립트를 실행합니다:

라우터와의 안정적인 연결을 얻기 위해 리버스 셸이 생성됩니다:

따라서 root 권한을 가진 완전한 상호 운용 가능한 콘솔을 생성하여 권한을 상승시킬 수 있습니다 (다음 이미지 참조):

이 권한 상승을 통해 /etc/passwd(/var/passwd)의 내용을 변경하고, 새 사용자를 생성하며, 제한된 데이터/파일에 접근하거나 다른 시스템 리소스를 영구적으로 변경할 수 있습니다.

"support" 사용자는 라우터 뒷면에 인쇄되어 제공됩니다. 일부 경우, 이 라우터들은 기본 자격 증명을 사용합니다.