jcarabantes/cve-2022-23046Proof-of-Concept-Exploit für CVE-2022-23046, eine authentifizierte SQL-Injection in PhpIPAM v1.4.4. Extrahiert Serverinformationen, SMTP-Einstellungen, Benutzer-Hashes und Datenbank-Anmeldedaten über den Endpunkt edit-bgp-mapping-search.php.
Die ursprüngliche Entdeckung und manuelle PoC stammen von Fluidattacks:
PhpIPAM v1.4.4 erlaubt einem authentifizierten Admin-Benutzer, SQL-Anweisungen in den Parameter "subnet" einzuschleusen, während ein Subnetz über app/admin/routing/edit-bgp-mapping-search.php durchsucht wird.
Dieser PoC führt einige einfache SQLi aus, um Informationen abzurufen wie:
Einige davon sind über das Backend zugänglich, aber ich habe sie hier nur als einfache Möglichkeit hinzugefügt, alle Informationen in einer einzigen Abfrage abzurufen. Fühle dich frei, eigene Payloads hinzuzufügen/zu entfernen.
Für fortgeschrittenere Dinge erstelle eigene Payloads (in res.payloads), verwende BurpSuite oder sqlmap.
git clone https://github.com/jcarabantes/CVE-2022-23046.git
python -m venv venv
source venv/bin/activate
pip install -r requirements.txt
python CVE-2022-23046.py -h
version: '3'
services:
phpipam-web:
image: phpipam/phpipam-www:v1.4.3
ports:
- "8888:80"
environment:
- TZ=Europe/London
- IPAM_DATABASE_HOST=phpipam-mariadb
- IPAM_DATABASE_PASS=my_secret_phpipam_pass
- IPAM_DATABASE_WEBHOST=%
restart: unless-stopped
volumes:
- phpipam-logo:/phpipam/css/images/logo
depends_on:
- phpipam-mariadb
phpipam-cron:
image: phpipam/phpipam-cron:latest
ports:
- "8889:80"
environment:
- TZ=Europe/London
- IPAM_DATABASE_HOST=phpipam-mariadb
- IPAM_DATABASE_PASS=my_secret_phpipam_pass
- SCAN_INTERVAL=1h
restart: unless-stopped
depends_on:
- phpipam-mariadb
phpipam-mariadb:
image: mariadb:latest
environment:
- MYSQL_ROOT_PASSWORD=my_secret_mysql_root_pass
restart: unless-stopped
volumes:
- phpipam-db-data:/var/lib/mysql
volumes:
phpipam-db-data:
phpipam-logo:
python CVE-2022-23046.py -h
___ _ _ ____ ___ ___ ___ ___ ___ ___ ___ __ _
/ __)( \/ )( ___)___(__ \ / _ \(__ \ (__ \ ___(__ \ (__ ) / _ \ /. | / )
( (__ \ / )__)(___)/ _/( (_) )/ _/ / _/(___)/ _/ (_ \( (_) )(_ _)/ _ \
\___) \/ (____) (____)\___/(____)(____) (____)(___/ \___/ (_) \___/
Schwachstelle entdeckt von Oscar Uribe
PoC-Autor: @javicarabantes
usage: CVE-2022-23046.py [-h] [-d] [-q] --url URL --user USER
optional arguments:
-h, --help show this help message and exit
-d Debug output
-q Do not print the banner
--url URL phpipam url: https://ipamserver:8081/
--user USER admin user
python CVE-2022-23046.py --url http://localhost:8888/ --user admin
Ich habe diesen PoC in verschiedenen phpipam-Versionen 1.4.3, 1.4.4 und 1.5 getestet, die einwandfrei funktionierten (nicht nur < 1.4.5). Bei der Überprüfung des phpipam GitHub-Projekts sah ich, dass der Commit 4b764b9cb236d1a4a06fc8ad9a93b306b3f5c04d auch Version 1.5 betraf.
Nützliche Datei: https://github.com/phpipam/phpipam/blob/master/misc/CHANGELOG
Überprüfen, ob die CHANGELOG-Datei zugänglich ist und den Kommentar zu diesem Fix enthält, andernfalls könnte der phpipam-Server verwundbar sein
curl -sk https://phpipamserver/misc/CHANGELOG | grep "edit-bgp-mapping-search.php"