Título do Exploit: KRAMER VIAware 2.5.0719.1034 - Execução Remota de Código

Data: 2019-10-02
Autor: Andrew Hess
Link do Software: https://www.kramerav.com/us/product/viaware
Versão: 2.5.0719.1034
CVE: CVE-2019-17124

Histórico

2019.10.02 - Vulnerabilidade descoberta
2019.10.02 - Contato inicial com o fornecedor
2019.10.04 - Segundo contato com o fornecedor
2019.10.08 - Nenhuma resposta do fornecedor
2019.10.09 - Aviso de segurança público divulgado

Descrição do software

Todas as ferramentas avançadas de apresentação sem fio e colaboração oferecidas pelo VIA Campus agora podem ser usadas no seu próprio PC para aprimorar reuniões colaborativas em ambientes corporativos e aprendizado interativo em ambientes educacionais e de treinamento. De qualquer laptop ou dispositivo móvel, qualquer participante da reunião ou estagiário na sala pode visualizar a tela principal, editar documentos juntos em tempo real, compartilhar arquivos de qualquer tamanho, transformar a tela principal em um quadro branco digital e muito mais. O VIAware também permite que facilitadores usem enquetes eletrônicas (e-polling) e exames eletrônicos (e-exams) para medir fácil e instantaneamente o quanto os alunos e estagiários estão realmente aprendendo. O VIAware pode exibir até seis telas de usuário em uma tela principal ou até 12 telas em duas telas (dependente de hardware) e oferece espelhamento iOS para MacBook, iPad e iPhone, bem como espelhamento nativo para Chromebook, Android (Lollipop OS 5.0 ou mais recente) e Windows phone. Alunos remotos podem facilmente se juntar à aula e colaborar em tempo real com aplicativos integrados de videoconferência e escritório de terceiros. O VIAware oferece a mesma segurança de todos os dispositivos VIA e pode ser instalado em qualquer computador com Windows 10, proporcionando aos gerentes de TI a versatilidade de que precisam. O software funciona perfeitamente com seus clientes VIA existentes e com o VIA Site Management e oferece suporte completo a todos os recursos do VIA Quick Connect, como QR Code, NFC Tag e VIA Pad. O VIAware está disponível como uma licença única com assinaturas de atualização anual opcionais ou como uma assinatura anual recorrente.

Descrição do exploit

O software VIAware é instalado em um computador gateway que pode ter duas placas de rede.
Uma placa de rede para a rede interna e outra para a rede externa (ponto de acesso) à qual os convidados se conectam.

Esse cenário o torna perigoso porque serviços não bloqueados podem ser atacados a partir da rede externa.

No nosso cenário, o serviço web pode ser atacado a partir da rede externa se não estiver bloqueado por uma regra de firewall.

O serviço web é usado para disponibilizar o software VIAapp para os convidados.

Design

POC

Verificar o VIAware Webservice

Chamar o site vulnerável (https://viaware/browseSystemFiles.php?path=C:\Windows&icon=browser). Este site é apenas para administradores, mas não verifica a sessão corretamente e permite que usuários anônimos acessem o site.

Através deste site já podemos coletar informações sobre o servidor. Mas há mais.

A variável rev="string" pode ser ajustada arbitrariamente no lado do cliente. Esta é a string que é escrita em um arquivo.

No nosso teste colocamos uma string de demonstração

Também podemos especificar qualquer arquivo no qual este script será escrito. Então é possível colocar shellcode (value="string")

Agora acione a ação com um clique, por exemplo, em notepad.exe

No lado do servidor, o arquivo foi criado com conteúdo

Se colocarmos um script exploit.cmd na pasta apache cgi-bin, podemos executar o script arbitrariamente a partir de uma chamada do navegador.

Na instalação padrão, o serviço Apache roda no contexto SYSTEM e executa os scripts como SYSTEM.