第二个配置404_研究员公开网络设备配置管理开源程序 rConfig 中两个严重的 RCE 0day 漏洞（PoC 和详情）...

  聚焦源代码安全，网罗国内外最新资讯！ 编译：奇安信代码卫士团队 如果你使用的是流行的 rConfig 网络配置管理工具保护并管理网络设备的话要注意了！ 安全研究员 Askar 发布了该工具中存在的两个未修复 RCE 漏洞的详情和 PoC 。 至少其中一个漏洞可导致身份未验证的远程攻击者攻陷目标服务器和联网网络设备。奇安信代码卫士将该Askar的博客文章翻译如下：

rConfig 概述

rConfig 是一款用原生 PHP 编写的开源网络设备配置管理实用程序，供网络工程师对其网络设备进行经常性的配置快照。

关于 exploit

我在两个不同的文件中找到了两个远程命令执行漏洞：从“ajaxServerSettingsChk.php”文件中找到一个身份未经验证的 RCE 漏洞 (CVE-2019-16662)，可由发送一个通过第2行中声明的“ rootUname ”参数构造的 GET 请求的方式触发。第2行声明“ rootUname ”参数，之后将其传递到第13行的 exec 函数，可通过恶意 OS 命令将其注入使其在服务器上执行。发现并利用该漏洞较为直接，随后我将说明具体过程。 第二个 RCE 漏洞(CVE-2019-16663)是从“search.crud.php”文件中发现的，通过发送包含两个参数的构造的GET 请求即可触发。第一个参数是“ searchTerm ”，它可包含任何你想要的值，不过它应该具有值的原因是我们可以触及第63行的 exec 函数。 我决定像往常一样寻找 RCE 漏洞，于是开始通过一个在上次案例学习中用过的非常简单的 python 脚本列出所有不安全的函数。

身份未经验证的 RCE 漏洞分析

脚本运行后产生几个结果，于是我开始查看并注意到位于 install/lib/ajaxHandlers/ajaxServerSettingsChk.php 的文件名称为“ ajaxServerSettingsChk.php ”的文件，它包含： ajaxServerSettingsChk.php

>?php$rootUname = $_GET['rootUname'];$array = array();/* check PHP Safe_Mode is off */if (ini_get('safe_mode')) {
        $array['phpSafeMode'] = '<strong><font class="bad">Fail - php safe mode is on - turn it off before you proceed with the installation</strong></font>br/>';} else {
        $array['phpSafeMode'] = '<strong><font class="Good">Pass - php safe mode is off