CVE-2022-29845~29847 WhatsUp Gold 多个漏洞组合链分析

★且听安全★-点关注，不迷路！

★漏洞空间站★-优质漏洞资源和小伙伴聚集地！

**漏洞信息
**

WhatsUp Gold 是一款网络监控软件，提供完整、易用的监控机制，全方位监控应用服务与网络设备，协助IT管理人员能将网管信息转变成可阅读的商业信息。近日 WhatsUp Gold 22.0.1 以前版本披露了多个漏洞，主要信息如下：

•  CVE-2022-29845: Local File Disclosure

•  CVE-2022-29846: WhatsUp Gold Serial Number Disclosure

•  CVE-2022-29847: Unauthenticated Server-Side Request Forgery (SSRF)

•  CVE-2022-29848: Authenticated Server-Side Request Forgery (SSRF)

**CVE-2022-29847 泄露管理密码
**

这是一个未授权 SSRF 漏洞，但是结合接口功能可以外带管理员密码，并且能够解密还原。WhatUp Gold 基于 C# 语言开发，主要进程列表如下：

网站基于 IIS，默认目录位于 `C:\Program Files (x86)\Ipswitch\WhatsUp\HTML\NM.UI` ：

漏洞产生于 `WhatsUp.UI.dll` 的 `WhatsUp.UI.Areas.Platform.ApiControllers.Export.RenderController` 类，注意到 PUT 方法进行了 `AllowAnonymous` 注解，即支持未认证访问：

调用 PUT 请求后执行 `_appService.RenderReport` 函数， `_appService` 是一个接口定义的变量，最终执行到 `Ipswitch.WhatsUp.Application.Report.ReportRenderingAppService` ：

继续追踪 `LoginAsync` 函数，调用 `WebuserConfig.GET` 获取 `empty` 和 `empty2`，最后拼接为 URL：

查看 Get 函数定义可知获取的内容为用户名和密码：

最后调用 `GetContentAsync` 发送请求：

构造参数的方法可以参考 `RenderController` 中 Post 方法定义，根据接口描述，输入执行的 `baseUrl` 和 `userId` ，应该能够外带获取指定用户的加密口令：

现在已经可以通过漏洞获取类似 `3,0,0,0,***` 的管理员 Hash，通过分析解密代码，发现结合序列号和密文可以实现 Hash 解密，编写代码成功实现解密过程：

**CVE-2022-29846 匿名序列号泄露
**

那么有办法认证前获取序列号吗？首先尝试在安装目录搜索序列号字符串，并没有在网页文件中找到。

查看 IpSwitch 网站目录，分为 `NM.UI` 和 `NmConsole` 两个实例，目录下包含多个 asp 文件：

一个比较粗暴的方式为遍历所有 asp 文件，并过滤关键字符，最后发现 `evalPane.asp` 和 `gettingStartedPane.asp` 两个文件符合条件：

asp 代码中正好有 `getSerialNumber` 调用：

**CVE-2022-29845 任意文件读取
**

问题代码位于 `WhatsUp.UI.dll` 文件的 `WhatsUp.UI.Areas.Platform.ApiControllers.AlarmCustomizer.AlarmCustomizerController` 类，其中的 `Get` 函数调用了 `ReadFile`：

`ReadFile` 未对输入做任何检查：

可以实现任意文件读取：

如果主机位于域内，可结合渗透手段获取域认证敏感信息：

**小结
**

CVE-2022-29847 是未授权 SSRF 漏洞，可以获取任意用户加密口令，可结合安装序列号恢复明文，与 CVE-2022-29846 序列号泄露组合使用可获取控制台管理权限。

由于传播、利用此文档提供的信息而造成任何直接或间接的后果及损害，均由使用本人负责，且听安全及文章作者不为此承担任何责任。

★且听安全★-点关注，不迷路！****

★漏洞空间站★-优质漏洞资源和小伙伴聚集地！