🚀 CVE-2023-22047 - Exploit LFI de PeopleSoft

Inclusión de Archivos Locales (LFI) sin autenticación en Oracle PeopleSoft Enterprise PeopleTools

👨‍💻 Autor

0xTerror

Investigador de Seguridad | Desarrollador de Exploits

📋 Descripción

CVE-2023-22047 es una vulnerabilidad crítica de Inclusión de Archivos Locales (LFI) sin autenticación descubierta en Oracle PeopleSoft Enterprise PeopleTools. Este exploit permite a un atacante leer archivos arbitrarios del servidor objetivo sin autenticación, lo que puede provocar la exposición de datos sensibles como:

🔐 Archivos de configuración del sistema
🔑 Credenciales de base de datos
🛡️ Credenciales de administrador de WebLogic
📄 Código fuente
🌐 Variables de entorno
🔓 Hashes de contraseñas

🔍 Qué Lo Hace Vulnerable

Análisis de la Causa Raíz

La vulnerabilidad existe en el componente Updates Environment Management de PeopleSoft Enterprise PeopleTools. La falla se desencadena por el manejo inadecuado del parámetro wsrp-url en el endpoint /RP.

Desglose Técnico

Aspecto	Detalles
Componente	Updates Environment Management
Endpoint	`/RP` (Resource Provider)
Parámetro	`wsrp-url`
Vector de Ataque	Solicitud HTTP GET
Autenticación	❌ No requerida
Tipo de Vulnerabilidad	CWE-22: Path Traversal
Puntuación CVSS	9.8 (Crítico)

Diagrama de Flujo del Ataque

graph LR
    A[Attacker] -->|GET /RP?wsrp-url=file:///etc/passwd| B[PeopleSoft Server]
    B -->|Reads /etc/passwd| C[File System]
    C -->|Returns file content| B
    B -->|Sends file content| A

CVE-2023-22047-Oracle-PeopleSoft-LFI

Más Populares