ثغرة اجتياز المسار في لوحة تحكم برنامج الفدية Jasmin - إثبات المفهوم

#EducationalPurposes
https://github.com/codesiddhant/Jasmin-Ransomware
اكتشفت ثغرة اجتياز المسار بدون مصادقة في لوحة تحكم برنامج الفدية Jasmin (CVE-2024-30851)، مما يسمح للمهاجم بإفشاء هوية مشغلي اللوحة وسحب مفاتيح فك التشفير. تم رصد برنامج الفدية Jasmin في حملة استغلال حديثة استهدفت TeamCity (CVE-2024-27198, CVE-2024-27199) (https://twitter.com/brody_n77/status/1765145148227555826)

Screencast from 2024-04-04 18-51-07.webm

التنفيذ بعد إعادة التوجيه (CWE-698)

النقطة المتأثرة (Jasmin-Ransomware/Web Panel/download_file.php) تفشل في استدعاء die() بعد إرسال رأس Location. وهذا يسمح للمهاجم بتجاوز متطلبات المصادقة. استدعاء readfile غير منقى، مما يسمح للمهاجم بقراءة ملفات عشوائية.

<?php
session_start();
if(!isset($_SESSION['username']) ){
	header("Location: login.php");
}
$file=$_GET['file'];
if(!empty($file)){
    // Define headers
    header("Cache-Control: public");
    header("Content-Description: File Transfer");
    header("Content-Disposition: attachment; filename=$file");
    header("Content-Type: text/encoded");
    header("Content-Transfer-Encoding: binary");
    
    // Read the file
   readfile($file);

يوجد أيضًا مجموعة من ثغرات SQLi، إحداها يتم استغلالها لتجاوز تسجيل الدخول والحصول على أسماء ملفات مفاتيح فك التشفير.