HeimShell (CVE-2023-51803)

HeimShell ist ein Exploit für CVE-2023-51803, der eine beliebige Datei-Upload-Schwachstelle in LinuxServer.io Heimdall (≤ 2.5.6) ausnutzt. Es erkennt automatisch die Zielversion und warnt entweder vor der Ausnutzbarkeit oder holt remote eine PHP-Shell, die durch SHELL_URL definiert ist.

• ≤ 2.2.2: Beliebiges Hochladen von Dateien ist möglich, aber Dateien werden statisch bereitgestellt und URLs werden nicht remote abgerufen.
• ≥ 2.2.3 & ≤ 2.5.6: Remote-Abruf einer PHP-Shell über Icon-URL-Upload.

---

• Versionsprüfung: Ruft /settings ab und analysiert das Version-Feld, um sicherzustellen, dass die Upload-Funktion vorhanden ist.
• CSRF-Token-Abruf: Lädt /items/create und extrahiert die versteckte _token-Eingabe.
• Shell-Bereitstellung: Für Versionen ≥ 2.2.3 verwendet es den Icon-Parameter, der auf eine entfernte PHP-Shell-URL auf einem Webserver zeigt.
• Element-Aufzählung: Durchsucht die Elementliste (/items), um den Dashboard-Eintrag zu finden, der dem zufälligen Tag entspricht.
• Shell-URL-Extraktion: Überprüft die Bearbeitungsseite (/items/<id>/edit), findet das - oder -Element und gibt die Shell-URL aus.