Exploit Title: KRAMER VIAware 2.5.0719.1034 - Удаленное выполнение кода

Дата: 2019-10-02
Автор: Andrew Hess
Ссылка на ПО: https://www.kramerav.com/us/product/viaware
Версия: 2.5.0719.1034
CVE: CVE-2019-17124

История

2019.10.02 - Уязвимость обнаружена
2019.10.02 - Первоначальный контакт с вендором
2019.10.04 - Второй контакт с вендором
2019.10.08 - Ответ от вендора не получен
2019.10.09 - Опубликовано публичное уведомление о безопасности

Описание ПО

Все передовые инструменты беспроводной презентации и совместной работы, предлагаемые VIA Campus, теперь можно использовать на собственном ПК для улучшения совместных встреч в корпоративной среде и интерактивного обучения в образовательных и учебных учреждениях. С любого ноутбука или мобильного устройства любой участник встречи или обучающийся в комнате может просматривать основной дисплей, совместно редактировать документы в реальном времени, обмениваться файлами любого размера, превращать основной дисплей в цифровую доску и многое другое. VIAware также позволяет фасилитаторам использовать электронные опросы и экзамены для простого и мгновенного измерения того, насколько студенты и обучающиеся действительно усваивают материал. VIAware может отображать до шести пользовательских экранов на одном основном дисплее или до 12 экранов на двух дисплеях (в зависимости от аппаратного обеспечения) и поддерживает зеркалирование iOS для MacBook, iPad и iPhone, а также нативное зеркалирование для Chromebook, Android (Lollipop OS 5.0 или новее) и Windows Phone. Удаленные студенты могут легко присоединиться к занятию и работать совместно в реальном времени со встроенными сторонними приложениями для видеоконференций и офисными приложениями. VIAware обеспечивает тот же уровень безопасности, что и все устройства VIA, и может быть установлен на любой компьютер под управлением Windows 10, предоставляя ИТ-менеджерам необходимую гибкость. Программное обеспечение бесшовно работает с существующими клиентами VIA и VIA Site Management, а также полностью поддерживает все функции VIA Quick Connect, такие как QR-код, NFC-метка и VIA Pad. VIAware доступен в виде однократной лицензии с опциональной ежегодной подпиской на обновления или в виде ежегодной подписки с автоматическим продлением.

Описание эксплойта

Программное обеспечение VIAware устанавливается на шлюзовом компьютере, который может иметь две сетевые карты.
Одна сетевая карта для внутренней сети и одна для внешней сети (точки доступа), к которой подключаются гости.

Этот сценарий делает его опасным, так как незаблокированные сервисы могут быть атакованы из внешней сети.

В нашем сценарии веб-сервис может быть атакован из внешней сети, если он не заблокирован правилом брандмауэра.

Веб-сервис используется для предоставления ПО VIAapp гостям.

Дизайн

POC

Проверка веб-сервиса VIAware

Вызов уязвимого веб-сайта (https://viaware/browseSystemFiles.php?path=C:\Windows&icon=browser). Этот сайт предназначен только для администраторов, но не проверяет сессию должным образом и допускает анонимных пользователей.

Через этот сайт мы уже можем собирать информацию о сервере. Но это еще не всё.

Переменная rev="string" может быть произвольно изменена на стороне клиента. Это строка, которая записывается в файл.

В нашем тесте мы поместили демо-строку

Мы также можем указать любой файл, в который будет записан этот скрипт. Таким образом, можно разместить шелл-код (value="string")

Теперь запустите действие одним щелчком, например, по notepad.exe

На стороне сервера файл был создан с содержимым

Если мы поместили скрипт exploit.cmd в папку apache cgi-bin, мы можем выполнить скрипт произвольно через вызов из браузера.

В стандартной установке служба Apache работает в контексте SYSTEM и выполняет скрипты как SYSTEM.