Under r00t – HackLab Bergamo

Interrompo la lunga fase di silenzio per il rilascio di una vulnerabilità…
Durante un audit che stavo conducendo ho trovato una  path traversal  (o directory path traversal) in AcutoWeb10.2

In accordo con il team la vulnerabilità verrà patchata con il rilascio della versione 10.3 previsto a fine mese, rilascio forzato proprio a causa della falla.

C’è da dire che è difficile trovare ancora queste vulnerabilità, sono note da molti anni e difficilmente le si trova, infatti la prima cosa che ho fatto è stato comunicare al nostro team interno di “rivedere la configurazione con cui viene lanciata l’applicazione o magari rivedere i permessi”. Visto che l’indexing era possibile una misconfiguration sembrava la cosa più probabile.

indexing home dir

Una volta che ho potuto listare la home ho provato a includere la etc/shadow. E mi è stato possibile.
Alche scordandomi di ogni senso del dovere e di una parte di professionalità mi son permesso di prendere per il culo i miei colleghi : ] … In senso buono ovviamente, si stava scherzando e il clima era leggero, nonostante ci fosse un buco discreto nella nostra infrastruttura di rete!

etc/shadow

Comunque, dicevo che avevo ottenuto la shadow…

Che, parliamoci chiaro, non me ne faccio un cazzo della shadow (per modo di dire), avrei dovuto cercare in rete su i vari servizi online o usare hashcat e john the ripper, o comunque avrei dovuto avere una botta culo clamorosa per scovare la pass di root in tempi ragionevoli… Sarebbe stato più utile vedere se nei vari file (quelli disponibili ovviamente) fosse riportata una password in chiaro, o senza per forza cercare psw avrei avuto a disposizione file di configurazione dei vari servizi, che sono una manna, o, se ci fosse a disposizione qualcosa per l’upload di file avrei potuto caricare un shell… A ogni modo, non era nello scope e annunciare ai sistemisti: “ho appena grabbato la tua /etc/shadow” fa la sua sporca figura : ] e infatti è quello che ho fatto.

Dopo le cazzate di rito abbiamo rivisto il file di conf, sia utilizzando quello riportato sul loro sito nella sezione della documentazione sia modificandolo noi stessi settando le features di sicurezza al massimo livello.
Abbiamo verificato che il problema non fosse legato a una nostra dimenticanza, una volta valutato tutto questo ci siamo rivolti quindi al team di sviluppo di acutoweb, i quali (devo dire abbastanza cordialmente) dopo una settimana circa ci hanno confermato che era una loro vulnerabilità fino a quel momento sconosciuta.

Il post non ha valore tecnico visto la banalità della cosa ma nonostante questo ci mostra quanto ancora una vulnerabilità vecchia, conosciuta da anni possa ancora essere presente e esporre a possibili data-breach.

HappyHacking