欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

SonicWall SRA及SMA多个漏洞分析

来源:本站整理 作者:佚名 时间:2020-02-13 TAG: 我要投稿

去年Orange Tsai在常见的SLL VPN产品中找到了一些漏洞,攻击者可以利用这些漏洞渗透本应该被保护的网络,涉及到的厂商包括Palo Alto、Fortinet以及Pulse Secure。
我认为在安全相关设备中找到漏洞特别具有讽刺意味,然而多年以来,研究人员已经在相关领域发现过不少漏洞。
在阅读Orange的研究文章时,我看到有人问其他厂商是否受到影响,因此我觉得可以尝试寻找其他VPN厂商设备的漏洞。当时我随机选择了SonicWall产品,该厂商最近主动表示相关产品不受Palo Alto漏洞影响。
 
0x01 环境配置
我对SonicWall产品并不了解,因此先搜索哪些属于SSL-VPN设备,找到了Secure Remote Access(SRA)解决方案。幸运的是,我们可以下载该设备的虚拟镜像展开研究。我们的研究成果基于8.1.0.7-22sv版,该版本似乎已经过时,但我无法通过公开渠道找到更新版本。我认为这款设备实际上已经被SMA设备替代(或者正逐步被替代中),而后者也存在本文分析的漏洞。
 
0x02 漏洞分析
我首先研究的是SSL-VPN的web接口,该接口在cgi-bin目录中包含多个CGI文件。这些文件可以被远程调用,是运行在Linux系统上的32位ELF程序。我希望能通过分析这些文件,理解设备如何处理身份认证过程,找到身份认证系统中的漏洞,或者澄清是否可以不经过认证调用某些文件。
其中我找到了一个supportLogin程序,该程序用来处理某些类型的身份认证。其中我找到了一些漏洞,攻击者在通过身份认证之前就可以利用这些漏洞,但需要设备启用“Virtual Assist”模块。实话实说,我并不清楚这是否为常用的一个模块。
CVE-2019-7481
第一个漏洞为SQL注入漏洞,位于customerTID参数中。目标Web应用使用的是SQLite数据库,并且使用了sqlite3的printf函数,根据用户提供的输入构造了几个查询语句。在大多数情况下,服务端使用%q格式化符号来转义引号。然而在某些情况下服务端使用的是%s,如下图所示。此时这里不存在任何转义操作,因此存在一个SQL注入点。

这样将导致设备出现SQL盲注漏洞,可以被远程利用。这里最有趣的是,这个SQLite数据库中似乎存放着身份认证用户的会话标识符,表名为Sessions。如果利用时机妥当,攻击者可以获得各种级别的SSL-VPN访问权限。
该漏洞对应的编号为CVE-2019-7481。
CVE-2019-7482
我在同一个CGI中找到了第二个漏洞,可以实现任意代码执行。这是一个缓冲区溢出漏洞,位于服务端解析浏览器user-agent信息的过程中。更具体一些,当攻击者将user-agent伪装为Safari时就会触发溢出,此时服务端会调用libSys.so库中的getSafariVersion函数。

getSafariVersion函数代码片段如下所示:

这里攻击者可以使用memcpy函数来溢出本地缓冲区。SRA中并没有部署stack canary(金丝雀)机制,因此攻击者可以轻松覆盖EIP、使用rop链来执行命令。SMA中部署了一些漏洞利用缓解措施,因此如果想利用该漏洞,可能还需要泄露某些信息,或者使用我并不熟练的pwn技巧。
无论如何,我们可以使用如下请求导致CGI崩溃:
GET /cgi-bin/supportLogin HTTP/1.1
Host: 10.1.0.100
User-Agent: plop Mac OS X Safari Version/12345678901234567890123456789012345678901234AAAABBBBCCCC lol Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
目标程序会自动重启,因此攻击者可以不断重复利用该漏洞,可以用来暴力破解libc的基址。在实际测试中,一般不超过100次尝试,我就能在目标设备上利用nobody权限执行任意命令。
该漏洞对应的编号为CVE-2019-7482。
CVE-2019-7483
第3个漏洞较为鸡肋,是一个预身份认证目录遍历漏洞,只能用来测试某个文件是否存在。从理论上讲,如果目标文件遵循某种结构,那么就可以用来读取部分内容。该漏洞对应的编号为CVE-2019-7483。
在实际场景中,我认为该漏洞可以用来判断目标设备是否存在前2个漏洞,因为这几个漏洞可能会被同时修复。从本质上讲,如果目标设备需要一定时间才能处理如下请求,则代表该设备存在漏洞:
/cgi-bin/handleWAFRedirect?repeated=1&hdl=../etc/doesntexist
如果请求实际存在的文件,则处理时间应该短一些:
/cgi-bin/handleWAFRedirect?repeated=1&hdl=../etc/passwd
其他漏洞
在研究过程中我还发现了其他3个漏洞,这些漏洞需要攻击者具备有效账户才能利用,分别如下:
CVE-2019-7484:SQL注入漏洞
CVE-2019-7485:缓冲区溢出漏洞
CVE-2019-7486:代码注入漏洞
前两个漏洞与前面描述的漏洞非常相似,最后一个漏洞为比较简单的命令注入漏洞,但需要管理员账户才能利用,利用方式如下:
POST /cgi-bin/viewcacert HTTP/1.1
Host: 192.168.200.1
[...]
Content-Length: 67
buttontype=delete&CERT=newcert-3'--'
ping -c 4 192.168.200.123
ls
 
0x03 总结
我于2019年6月5日向SonicWall团队反馈了这些漏洞,官方在2019年12月17日公布了安全公告。
在关键更新发布2个月后,我快速判断了一下是否还有设备存在漏洞。我测试了目录遍历漏洞,发现互联网上仍有相关设备存在该问题(其中某个设备隶属于SonicWall的IP地址范围内),因此这里我决定暂时不公布漏洞利用代码。
 

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载