CVE-2026-80428 CTF-Trainingslabor

Bildungsemulator der in CVE-2026-80428 (CWE-502: Deserialisierung nicht vertrauenswürdiger Daten) beschriebenen Schwachstellenmechanik.

Dies ist keine echte ILIAS-Installation und kein weaponisiertes Exploit-Paket. Es ist ein vollständig containerisiertes, isoliertes Labor für Studierende, Praktikanten und Sicherheitsforscher.

Lernziele

1. Unsichere Deserialisierung nach CWE-502
2. PHP-Object-Injection
3. Serialisierte PHP-Objekte
4. Manipulation von Sitzungsdaten
5. Von der Authentifizierung ausgenommene Anwendungsendpunkte
6. Objektlebenszyklus und __destruct()
7. POP-/Gadget-Chain-Konzepte (nur sicheres Trainings-Gadget)
8. Folgen von über das Web erreichbarem Schreiben von Dateien (sandboxed)
9. Erkennung und forensische Analyse
10. Sichere Behebung
11. Validierung der Schwachstelle
12. Patch-Verifikation

Architektur

                    ┌──────────────────────┐
                    │      CTF HOST        │
                    └──────────┬───────────┘
                               │  127.0.0.1:8080
                         Docker Network (ctfnet)
                               │
       ┌───────────────────────┼────────────────────────┐
       │                       │                        │
       ▼                       ▼                        ▼
┌──────────────┐       ┌──────────────┐        ┌──────────────┐
│   ATTACKER   │       │    TARGET    │        │   OBSERVER   │
│ Python/curl  │       │ PHP/Apache   │        │ Logs/Evidence│
│ PHP CLI      │       │ Vulnerable   │        │              │
└──────────────┘       │ Emulator     │        └──────────────┘
                       └──────────────┘

Optionales gepatchtes Ziel auf 127.0.0.1:8081 über das Compose-Profil patched.

Voraussetzungen

• Docker Engine 24+ und Docker Compose v2
• ~1 GB freier Speicherplatz für Images
• Keine Cloud-Anmeldedaten erforderlich; funktioniert offline, nachdem die Images gepullt wurden

Schnellstart

git clone https://github.com/shivammittal2403/cve-2026-80428-ctf.git
cd cve-2026-80428-ctf
cp .env.example .env
docker compose build
docker compose up -d
docker compose ps

Öffnen: http://127.0.0.1:8080/

Angreifer-Shell:

docker exec -it cve80428-attacker bash

Challenge-Stufen (1000 Punkte)

Stufe	Schwerpunkt	Punkte
1	Aufklärung	100
2	Sitzungsermittlung	150
3	PHP-Serialisierung	150
4	Objektlebenszyklus / Destruktor	200
5	Vollständige Kette	250
6	Behebung (gepatchtes Ziel)	150

Angriffsablauf (lehrreich)

Unauthenticated Request → LTI (/lti.php) → Session Storage
  → Logout (/logout.php) → unserialize() → Object → __destruct()
  → Controlled write (/drop/) → CTF Flag

Siehe docs/ATTACK_FLOW.md.

Sicherheitsmodell

• Ziel standardmäßig an 127.0.0.1 gebunden
• Kein Docker-Socket, kein privilegierter Modus
• Gadget schreibt ausschließlich unter /var/www/html/drop/ mittels basename()
• Kein system() / exec() / Reverse Shells
• Nuclei-Templates dienen ausschließlich der Erkennung

Makefile

make build && make up
make attacker
make health && make test
make reset

Dokumentation

Dokument	Zielgruppe
docs/STUDENT.md	Studierende
docs/INSTRUCTOR.md	Dozierende
docs/VULNERABILITY.md	Zuordnung echter CVE ↔ Lab
docs/ATTACK_FLOW.md	Angriffskettendiagramme
docs/REMEDIATION.md	Patch-Muster
docs/SOLUTIONS.md	Nur für Dozierende

Lizenz

MIT — nur für Bildungszwecke. Siehe SECURITY.md.