CVE-2020–13166 – En titt på MyLittleAdmin PreAuth RCE (Svenska)

(Imriah)

Den 15 maj 2020 rapporterade SSD om en sårbarhet för fjärrkodkörning som hittades i hanteringsverktyget MyLittleAdmin. Denna sårbarhet tillåter angripare att utföra kommandon på fjärrservern utan föregående autentisering.

Det rapporterades till SSD av en oberoende forskare som upptäckte att objekt på MyLittleAdmin kan serieseras på en fjärrserver, vilket gör att ASP-koden analyserar dem som om de vore MyLittleAdmins objekt. Detta kan göra det möjligt för angripare att utföra kommandon på en fjärrserver som om de var autentiserade MyLittleAdmin-användare.

Verktyget

MyLittleAdmin är ett webbaserat hanteringsverktyg speciellt utformat för MS SQL Server. Det är en fristående webbapplikation och har integrerats fullt ut med värdpaneler, inklusive Parallels Plesk. Med MyLittleAdmin kan du hantera de flesta objekt i MS SQL Server-databaser och servrar via en webbläsare.

Även om produkten verkar avvecklas (inga nya utgåvor sedan 2013) erbjuds den fortfarande på företagets webbplats samt en del av den valfria installationen av Plesk. Det finns också många aktiva installationer och tusentals användare närvarande på Internet, så det används fortfarande i stor utsträckning och ett utnyttjande av det kan orsaka mycket skada.

Sårbarheten

MyLittleAdmin använder en hårdkodad machineKey för alla installationer, detta värde sparas i filen: C: \ Program Files (x86) \ MyLittleAdmin \ web.config

En angripare som har denna kunskap kan sedan serieera objekt som kommer att analyseras av ASP-koden som används av servern som om den vore MyLittleAdmins serieobjekt. Angriparen kan sedan ansluta till en fjärrserver och skicka en nyttolast som startar en calc.exe i samband med IIS Application Engine. Således tillåter angriparen att utföra godtyckliga kommandon på fjärrservern.

Effekten

Denna sårbarhet har varit en av SSD: s mest populära upptäckter 2020. Själva rådgivningen har besökts flera gånger och översvämmade sociala medier. Resultaten hade också publicerats på Plesks webbplats såväl som främjats av The Hacker News och The Daily Swig .

Många försök att kontakta säljaren har gjorts men vi har ännu inte fått något svar trots att vi har fick många kommentarer om att denna sårbarhet redan utnyttjades.

Lyckligtvis, även om en officiell lösning ännu inte har publicerats, men tack vare vårt stora samhälle har en lösning publicerats av Tim Aplin från Paraply .

  1. Gå in i IIS> Maskintangenter> Skapa ny nyckel> Använd

2. Kör: IISreset

Hittade du en liknande sårbarhet? Vi får dig den bästa belöningen för det.

På SSD hjälper vi säkerhetsforskare att förvandla sina kunskaper i att avslöja säkerhetsproblem i en karriär. Designad av forskare, för forskare, ger SSD det snabba svaret och stödet som behövs för att få nolldagars sårbarheter och avslöjanden rapporterade till leverantörer och för att få forskare den ersättning de förtjänar. Vi hjälper forskare att komma till botten med sårbarheter som påverkar större operativsystem, programvara eller enheter.

Vi publicerar ständigt våra resultat, som syftar till att utbilda vår globala säkerhetsforskares gemenskap. Du hittar fler sårbarheter på vår Advisories-sida . Om du har egna resultat kan du skicka oss dina resultat här med vår rapportmall.

Gå med i konversationen:

Besök SSD

Twitter

Facebook

Youtube

Lämna ett svar

Din e-postadress kommer inte publiceras. Obligatoriska fält är märkta *