s1lkys/cve-2020-29669Macally WIFISD2
Writeup para CVE-2020-29669 por Maximilian Barz (Silky) e Daniel Schwendner (code-byter)
==========================
Esta é uma análise da exploração do Roteador de Viagem Macally WIFISD2-2A82 (versão de firmware: 2.000.010). O usuário convidado consegue redefinir a própria senha. Esse processo possui uma vulnerabilidade que pode ser usada para assumir a conta do administrador e resulta em acesso ao shell. Como o usuário admin pode ler o arquivo /etc/shadow, os hashes de senha de cada usuário (incluindo root) podem ser extraídos. O hash do root pode ser quebrado facilmente, o que resulta em comprometimento total do sistema. Tudo isso a partir da conta de convidado, que é destinada a ser fornecida a convidados.
.. image:: images/router.jpg :width: 1200
Arquivo afetado: /protocol.csp
.. image:: images/base.png :width: 1200
Faça login com a conta de convidado na interface web. A senha padrão para convidado e admin é em branco.
.. image:: images/web_login.png :width: 1400
|
Quando autenticado com sucesso, uma tela semelhante deve aparecer.
.. image:: images/dashboard.png :width: 1200
| | |
Navegue até o gerenciador de usuários no menu de configurações, onde você pode alterar a senha do seu usuário atual.
.. image:: images/password_change.png :width: 1800
O convidado consegue redefinir a própria senha; preencha os campos em branco e capture a requisição no BurpSuite.
.. image:: images/burp_1.png :width: 2100
Altere o valor de name para admin e encaminhe a requisição.
.. image:: images/burp_2.png :width: 2100
Na interface web, uma caixa pop-up aparecerá dizendo "Senha alterada com sucesso".
.. image:: images/password_changed.png :width: 1400
| |
Faça login como admin via telnet com a senha definida anteriormente.
.. image:: images/telnet_login.png :width: 1200
O admin consegue ler o arquivo /etc/shadow expondo o hash do root.
.. image:: images/etc_password.png :width: 1200
Todo o processo de exploração é automatizado por um script em Python. Para obter um shell root (ou quebrar o hash do root), execute macally_exploit.py.
.. code:: python
python3 macally_exploit.py 10.10.10.254
.. image:: images/exploit.png :width: 1600
Entrada CVE MITRE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-29669.
Entrada Exploit-DB: https://www.exploit-db.com/exploits/49256.
.. footer::
Maximilian Barz (OSCP), E-mail: [email protected], Twitter: S1lky_1337
Daniel Schwendner, E-mail: [email protected], Instagram: code_byter