CVE-2019-6447: Serviço HTTP não autenticado do ES File Explorer

Uma ferramenta de pesquisa e análise técnica, implementada de forma independente e com foco em segurança, para CVE-2019-6447, um serviço HTTP não autenticado exposto por versões vulneráveis do ES File Explorer para Android.

Somente pesquisa autorizada. Use este projeto apenas em dispositivos que você possua ou tenha permissão explícita para testar. A CLI usa como padrão uma sondagem TCP não invasiva. Operações que solicitam dados ou arquivos do dispositivo exigem uma flag explícita de autorização de laboratório.

Resumo executivo

Depois que o aplicativo é iniciado, o serviço incorporado pode permanecer acessível na rede Wi-Fi local. Ele aceita comandos JSON sem autenticar o chamador. Isso transforma uma interface de gerenciamento interna do aplicativo em uma superfície de ataque acessível pela rede.

flowchart LR
    A["Adjacent-network attacker"] -->|"HTTP POST / TCP 59777"| B["Embedded ES HTTP service"]
    B --> C["Command dispatcher"]
    C --> D["Device and app metadata"]
    C --> E["Shared-storage files"]
    C --> F["Android app launch"]

O que este repositório demonstra

• Validação reproduzível de vulnerabilidade sem varredura abrangente da internet
• Um cliente Python pequeno e tipado, com timeouts rigorosos e tratamento de erros previsível
• Separação entre descoberta não invasiva e operações de acesso a dados
• Testes de unidade que usam um serviço mock local em vez de um dispositivo real
• Uma análise mais aprofundada da superfície de ataque, falha de limite de confiança, impacto e correção

Para a análise completa, consulte docs/technical-analysis.md.

Início rápido

git clone https://github.com/acloudinthebluesky/CVE-2019-6447-ES-File-Explorer.git
cd CVE-2019-6447-ES-File-Explorer
python3 -m venv .venv
source .venv/bin/activate
python -m pip install -e .

1. Sondagem de porta não invasiva

esfile-6447 probe --target 192.168.56.10

Isso apenas tenta uma conexão TCP à porta 59777. Uma porta aberta não é, por si só, prova de que o alvo é vulnerável.

2. Validar o serviço em um laboratório isolado

esfile-6447 command \
  --target 192.168.56.10 \
  --name getDeviceInfo \
  --i-understand-this-is-an-authorized-lab

3. Demonstrar leitura arbitrária de arquivos em um laboratório isolado

esfile-6447 pull \
  --target 192.168.56.10 \
  --remote-path /sdcard/lab-marker.txt \
  --output ./evidence/lab-marker.txt \
  --i-understand-this-is-an-authorized-lab

Use apenas arquivos sintéticos. Não colete dados pessoais como prova de impacto.

Configuração do laboratório

1. Use uma rede Wi-Fi isolada ou uma rede de emulador somente host, sem rota para sistemas de produção.
2. Instale o APK vulnerável apenas em um dispositivo de teste dedicado ou emulador.
3. Crie um arquivo marcador sintético no armazenamento compartilhado.
4. Inicie o ES File Explorer uma vez e valide se a porta TCP/59777 está escutando.
5. Registre carimbos de data/hora, versão do aplicativo, topologia de rede e as evidências mínimas necessárias.
6. Remova o aplicativo vulnerável e destrua o ambiente de teste após a validação.

Detecção e correção

Os defensores podem procurar por serviços de escuta inesperados na porta TCP/59777 e por requisições HTTP contendo campos JSON command. Os controles de rede podem reduzir a exposição, mas a correção definitiva é remover ou atualizar o aplicativo vulnerável. Os serviços de gerenciamento incorporados devem ser vinculados ao loopback, a menos que o acesso remoto seja essencial, autenticar cada requisição, autorizar cada operação e encerrar quando não forem mais necessários.

Testes

python -m unittest discover -s tests -v

Os testes iniciam um servidor HTTP mock somente em loopback. Eles não contatam hosts externos.

Ética de pesquisa

Este projeto destina-se a validação defensiva, educação e pesquisa autorizada de vulnerabilidades. Ele deliberadamente omite varredura de sub-redes e usa como padrão uma sondagem apenas de conectividade. Acessar um dispositivo sem permissão pode violar leis e políticas, mesmo quando nenhum arquivo é retido.

Referências e créditos

• NVD: CVE-2019-6447
• Pesquisa pública original e PoC por fs0c131y
• Exploit-DB 50070
• Aviso do Packet Storm

A descoberta da vulnerabilidade e a prova de conceito pública original são creditadas aos pesquisadores referenciados acima. A implementação neste repositório é uma reimplementação educacional independente.

Licença

MIT