
Macally WIFISD2
Relatório do CVE-2020-29669 por Maximilian Barz (Silky) e Daniel Schwendner (code-byter)
==========================
Este é um relatório sobre a exploração do Macally WIFISD2-2A82 Travel Router (versão do firmware: 2.000.010). O usuário Guest pode redefinir sua própria senha. Este processo possui uma vulnerabilidade que pode ser usada para assumir a conta do administrador e resulta em acesso ao shell. Como o usuário admin pode ler o arquivo /etc/shadow, os hashes de senha de cada usuário (incluindo root) podem ser extraídos. O hash do root pode ser quebrado facilmente, resultando em comprometimento total do sistema. Tudo isso a partir da conta de convidado, que é destinada a ser dada a convidados.
.. image:: images/router.jpg :width: 1200
Arquivo afetado: /protocol.csp
.. image:: images/base.png :width: 1200
Faça login como conta de convidado na interface web. A senha padrão para guest e admin está em branco.
.. image:: images/web_login.png :width: 1400
|
Quando autenticado com sucesso, uma tela semelhante deve aparecer.
.. image:: images/dashboard.png :width: 1200
| | |
Navegue até o Gerenciador de Usuários no menu de configurações, onde você pode alterar a senha do seu usuário atual.
.. image:: images/password_change.png :width: 1800
O Guest pode redefinir sua própria senha. Preencha os campos em branco e capture a solicitação no BurpSuite
.. image:: images/burp_1.png :width: 2100
Altere o valor do campo name para admin e encaminhe a solicitação.
.. image:: images/burp_2.png :width: 2100
Na interface web, uma caixa pop-up aparecerá dizendo "Senha alterada com sucesso"
.. image:: images/password_changed.png :width: 1400
| |
Faça login como admin via telnet com a senha definida anteriormente.
.. image:: images/telnet_login.png :width: 1200
O admin pode ler o arquivo /etc/shadow expondo o hash do root.
.. image:: images/etc_password.png :width: 1200
Todo o processo de exploração é automatizado com um script Python. Para obter um shell root (ou quebrar o hash do root), execute macally_exploit.py.
.. code:: python
python3 macally_exploit.py 10.10.10.254
.. image:: images/exploit.png :width: 1600
Entrada CVE MITRE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-29669.
.. footer::
Maximilian Barz (OSCP), Email: [email protected], Twitter: S1lky_1337
Daniel Schwendner, Email: [email protected], Instagram: code_byter