CVE-2020-24581 D-Link DSL-2888A 远程命令执行漏洞分析

阅读量    172010 | 评论 1

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

D-Link DSL-2888A 授权问题漏洞

CVE-2020-24581 D-Link DSL-2888A 远程命令执行

D-link DSL-2888A是中国D-link公司的一款统一服务路由器,如下图所示:

 

漏洞信息

漏洞描述:

D-Link DSL-2888A AU_2.31_V1.1.47ae55之前版本存在安全漏洞,该漏洞源于包含一个execute cmd.cgi特性(不能通过web用户界面访问),该特性允许经过身份验证的用户执行操作系统命令。
在该版本固件中同时存在着一个不安全认证漏洞(CVE-2020-24580),在登录界面输入任意密码就可以成功访问路由器界面。
通过组合这两个漏洞可以实现未授权的任意代码执行

漏洞编号: CVE-2020-24581、CVE-2020-24579

fofa指纹: body=”DSL-2888A” && server==”uhttpd”

影响版本: AU_2.31_V1.1.47ae55之前版本

固件下载: 固件下载链接

POC:

http://DeviceIP/cgi-bin/execute_cmd.cgi?timestamp = 1589333279490&cmd = ls

 

漏洞分析

下载固件之后,使用Binwalk 将固件解开

binwalk -Me DSL-2888A_AU_2.12_V1.1.47Z1-Image-all.bin

解开是jffs2格式的文件系统,进入jffs2-root 目录,根据poc直接定位execute_cmd.cgi文件

由于漏洞需要web服务触发,因此需要了解固件中组件的位置,这里在/etc/rc.d/rcS中看到有dhttpd

最终dhttpd 定位再/usr/sbin/dhttpd

此漏洞的产生点位于execute_cmd.cgi文件,但是我们需要知道是怎么执行到execut_cmd.cgi.

使用IDA打开dhttpd文件。

根据cgi-bin字符串来最终定位到函数在sub_BEA0中

在函数的56行,可以看到会把访问要访问的文件和cgi-bin拼接成一个可以访问的url,并且在57行进行判断cgi文件是否存在。在67行可以看到会检查访问的文件是否有可执行权限。并且在获取路径中要执行的文件后,会将当前目录更改为文件存在的目录。

在110~114行,可以看到在给v24 传入值,在后面可以发现,v24是文件执行的环境变量,此处是在给execute_cmd.cgi 配置环境变量数组,这里可以看到执行文件可能需要设备登录权限。

紧接着在148行调用sub_BB5C函数,这个函数主要是来执行文件的函数,里面调用了execve()函数,因此参数file、v19、v24 这三个参数会传入到execve()函数中,最终执行execute_cmd.cgi文件。

因此登录设备之后,就可以执行任意的cgi-bin中的文件,对文件没有做任何限制。

接下来分析httpd是如何调用到cgi-bin的

首先在sub_9F24()函数中,初始化web 服务。其中的sub_9C4C()函数就是加载cgi的函数,如下图所示

如下图是sub_9C4C函数中的主要代码,可以明显看到60行加载了cgi-bin组件,并且调用sub_BEA0()函数。

分析execute_cmd.cgi 文件

如下图所示,这个文件会获取QUERY_STRING这个参数,”echo ${QUERY_STRING} | cut -d = -f 3” 这段代码可以获取第二个参数的值,并且在后面执行这个命令。这里们可以看到对参数的值没有限制,甚至对参数都没有做限制。这里下面复现漏洞的时候可以看到。

在dhttpd中可以检索字符串可以看到在sub_144B4中传入了这个字符串QUERY_STRING,

我们在ajax.js(/www/js/ajax.js)中也可以看到querystring 字符串,可以发现url是通过ajax.js 拼接好,发送到dhttpd中进行处理。

漏洞复现CVE-2020-24579+CVE-2020-24581

由于手头上没有设备,只能在fofa中找到一款设备用来复现漏洞。 命令执行的漏洞需在绕过身份验证之后才能进行触发。

下图是设备的登录界面,随便输入密码

在密码框中输入任意字符,点击Login。会重定向到http://xxx/page/login/login.html?error=fail

根据POC所示,再输入http:/xxx/cgi-bin/execute_cmd.cgi?timestamp=1589333279490&cmd=uname -a

可以看到成功的执行了命令。

在分析了设备的execute_cmd.cgi文件之后,发现不管什么参数都会识别,参数没有限制,于是下面这种也可以

http://XXX/cgi-bin/execute_cmd.cgi?taa%20=%20ssss%EF%BC%86aa%20=%20uname%20-a

 

参考:

https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/d-link-multiple-security-vulnerabilities-leading-to-rce/

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多