fatkz/cve-2022-24112Proof-of-Concept-Exploit für Apache APISIX 2.12.x RCE (CVE-2022-24112) mittels Lua filter_func-Injektion. Führt beliebige Systembefehle auf verwundbaren Zielen aus.
Dieses Python-Skript ist ein Proof-of-Concept (PoC) für eine Remote Code Execution (RCE)-Sicherheitslücke in Apache APISIX Versionen 2.12.0 und 2.12.1.
Die Schwachstelle liegt im Missbrauch des Lua-Feldes filter_func in der Admin-API, das es einem Angreifer ermöglicht, beliebigen Lua-Code einzuschleusen, der Systembefehle über io.popen ausführt. Die Antwort des Befehls wird über ngx.say() in der HTTP-Antwort zurückgegeben.
⚠️ HAFTUNGSAUSSCHLUSS: Dieses Tool ist ausschließlich für autorisierte Tests und Bildungszwecke bestimmt. Verwenden Sie es nicht auf Systemen, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Erlaubnis zum Testen haben.
requests (pip install requests)exploit.py
python3 exploit.py -d <target_domain_or_ip> -p <port> -c <command>
python3 exploit.py -d 127.0.0.1 -p 9080 -c id
python3 exploit.py --domain 192.168.1.100 --cmd "uname -a"
python3 exploit.py -d vulnerable.host.local -c "cat /etc/passwd"