CVE-2024-28000 — WordPress-LiteSpeed-Cache-Labor

Autorisierte Reproduktion in der lokalen Laborumgebung von CVE-2024-28000, einem unauthentifizierten Privilege-Escalation-Problem, das verwundbare Versionen des WordPress-Plugins LiteSpeed Cache betrifft.

Geltungsbereich: Dieses Repository dokumentiert Tests, die ausschließlich gegen eine isolierte, persönlich kontrollierte WordPress-VM durchgeführt wurden. Verwenden Sie diese Techniken nicht gegen Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Testgenehmigung haben.

Ergebnis

Die Schwachstelle wurde erfolgreich von einer Kali-Angreifer-VM gegen ein isoliertes Ubuntu-WordPress-Ziel mit LiteSpeed Cache 6.2.0.1 Ende-zu-Ende reproduziert.

Demonstrierter Angriffspfad:

1. WordPress-Ziel und LiteSpeed-Cache-Installation wurden enumeriert.
2. Der unauthentifizierte asynchrone Crawler-Handler von LiteSpeed wurde erreicht.
3. Der erzwungene Crawler-Pfad wurde ausgelöst, sodass der verwundbare Rollensimulations-Hash erzeugt wurde.
4. Der deterministische Hash-Raum mit 1.000.000 Kandidaten des verwundbaren Plugins wurde lokal erzeugt.
5. Der gültige Rollensimulations-Hash wurde remote mit ffuf und einer nur für Administratoren zugänglichen REST-Antwort als Erfolgs-Orakel wiederhergestellt.
6. Der Administrator-Kontext wurde mit HTTP 200 von der WordPress-Benutzer-REST-API bestätigt.
7. Über REST wurde ein Wegwerf-Administratorkonto erstellt (HTTP 201 Created).
8. Das Wegwerfkonto wurde nach der Beweiserhebung gelöscht.
9. Frühere Kontrolltests bestätigten, dass LiteSpeed Cache 6.4 die verwundbare Cookie-Technik mit HTTP 401 ablehnt.

Labor-Topologie

Das Ziel befand sich während der Exploitation-Tests in einem VMware-Host-Only-Netzwerk ohne Standardroute.

Ziel-Stack

• Ubuntu Server 22.04
• Apache 2.4.52
• WordPress 7.1
• LiteSpeed Cache 6.2.0.1 — verwundbarer Testzustand
• LiteSpeed Cache 6.4 — gepatchter Vergleichszustand

Wichtigste Erkenntnis

Ein verwundbarer LiteSpeed-Cache-Rollensimulations-Hash konnte remote erzeugt und wiederhergestellt werden. Die Bereitstellung des wiederhergestellten Hashs zusammen mit der Administrator-Benutzer-ID führte dazu, dass WordPress ohne eine normale authentifizierte WordPress-Sitzung im Administrator-Kontext arbeitete.

Die Auswirkung wurde durch die Erstellung eines persistenten Wegwerf-Administratorkontos über die WordPress-REST-API demonstriert.

Repository-Inhalte

.
├── README.md
├── REPORT.md
├── RUNBOOK.md
├── LICENSE
├── .gitignore
├── docs/
│   ├── architecture.md
│   ├── evidence-checklist.md
│   └── publication-redaction.md
├── scripts/
│   ├── generate_hashes.php
│   └── verify_candidate.sh
└── evidence/
    └── .gitkeep

Verantwortungsvolle Nutzung

Dieses Repository ist für defensiven Sicherheitsunterricht, Schwachstellenreproduktion, Validierung von Gegenmaßnahmen und Portfolio-Dokumentation in kontrollierten Umgebungen gedacht.