CVE-2020–13166 – Et kig på MyLittleAdmin PreAuth RCE

(Imriah)

Den 15. maj 2020 rapporterede SSD om en sårbarhed med fjernudførelse af kode, der blev fundet i styringsværktøjet MyLittleAdmin. Denne sårbarhed tillader angribere at udføre kommandoer på fjernserveren uden forudgående godkendelse.

Det blev rapporteret til SSD af en uafhængig forsker, der opdagede, at objekter på MyLittleAdmin kan serieliseres på en ekstern server, hvilket får ASP-koden til at parse dem som om de var MyLittleAdmins objekter. Dette kan gøre det muligt for angribere at udføre kommandoer på en fjernserver, som om de var godkendte MyLittleAdmin-brugere.

Værktøjet

MyLittleAdmin er et webbaseret styringsværktøj specielt designet til MS SQL Server. Det er en enkeltstående webapplikation og er fuldt integreret med hosting-kontrolpaneler, herunder Parallels Plesk. Ved hjælp af MyLittleAdmin kan du administrere de fleste objekter i MS SQL Server-databaser og servere via en webbrowser.

Selvom produktet ser ud til at være ophørt (ingen nye udgivelser siden 2013) tilbydes det stadig på virksomhedens websted samt en del af den valgfri installation af Plesk. Der er også adskillige aktive installationer og tusinder af brugere til stede på Internettet, så det bruges stadig i vid udstrækning, og en udnyttelse af det kan forårsage megen skade.

Sårbarheden

MyLittleAdmin bruger en hardkodet machineKey til alle installationer, denne værdi holdes i filen: C: \ Program Files (x86) \ MyLittleAdmin \ web.config

En angriber, der har denne viden, kan derefter serieisere objekter, der bliver parset af ASP-koden, der bruges af serveren, som om den var MyLittleAdmins serielle objekt. Angriberen kan derefter oprette forbindelse til en ekstern server og sende en nyttelast, der starter en calc.exe i sammenhæng med IIS Application Engine. Således tillader angriberen at udføre vilkårlige kommandoer på fjernserveren.

Virkningen

Denne sårbarhed har været en af ​​SSDs mest populære fund i 2020. Selve rådgivningen er blevet besøgt adskillige gange og oversvømmet sociale medier. Resultaterne var også blevet offentliggjort på Plesks websted samt promoveret af The Hacker News og The Daily Swig .

Der er gjort adskillige forsøg på at kontakte sælgeren, men vi har endnu ikke modtaget noget svar, selvom vi har modtog mange kommentarer, der sagde, at denne sårbarhed allerede blev udnyttet.

Heldigvis, selvom en officiel løsning endnu ikke er offentliggjort, men takket være vores store samfund, er en løsning blevet offentliggjort af Tim Aplin fra Umbrellar .

  1. Gå ind i IIS> Maskintaster> Generer ny nøgle> Anvend

2. Kør: IISreset

Har du fundet en lignende sårbarhed? Vi får dig den bedste belønning for det.

Hos SSD hjælper vi sikkerhedsforskere med at omdanne deres evner til at afdække sikkerhedssårbarheder til en karriere. Designet af forskere til forskere, giver SSD den hurtige respons og support, der er nødvendig for at få nul-dags sårbarheder og afsløringer rapporteret til leverandører og for at få forskere den kompensation, de fortjener. Vi hjælper forskere med at komme i bunden af ​​sårbarheder, der påvirker større operativsystemer, software eller enheder.

Vi offentliggør konstant vores fund, der har til formål at uddanne vores globale sikkerhedsforskerfællesskab. Du kan finde flere sårbarheder på vores Advisories-side . Hvis du har dine egne fund, kan du sende os dine resultater her ved hjælp af vores rapportskabelon.

Deltag i samtalen:

Besøg SSD

Twitter

Facebook

Youtube

Skriv et svar

Din e-mailadresse vil ikke blive publiceret. Krævede felter er markeret med *