Resumen de la Vulnerabilidad

• CVE ID: CVE-2024-51567
• Tipo de Vulnerabilidad: Inyección de Comandos / Bypass de CSRF
• Software Afectado: CyberPanel hasta las versiones 2.3.6 y 2.3.7 (sin parche)
• Descripción: El endpoint upgrademysqlstatus en databases/views.py de CyberPanel (anterior al commit 5b08cd6) permite a atacantes remotos ejecutar comandos arbitrarios al eludir las protecciones de secMiddleware, que solo filtran solicitudes POST. Esta vulnerabilidad puede explotarse utilizando metacaracteres de shell en el parámetro statusfile.
• Explotación en la Naturaleza: Explotado por PSAUX en octubre de 2024.

Características

• Obtiene el token CSRF del servidor objetivo para autenticar las solicitudes
• Crea y envía un payload especialmente diseñado para eludir las protecciones CSRF
• Ejecuta comandos remotos en un servidor CyberPanel vulnerable a través del endpoint /dataBases/upgrademysqlstatus
• Admite la explotación de objetivos tanto únicos como múltiples
• Modo interactivo de ejecución de comandos, permitiendo la entrada repetida de comandos hasta que el usuario salga
• Proporciona un mensaje de error si el token CSRF falta o no es válido

Requisitos Previos

• Python 3
• Módulo httpx

Instalación

1. Clonar el repositorio:
   root@kitploit:~

   git clone https://github.com/ajayalf/CVE-2024-51567.git
   cd CVE-2024-51567
   

2. Instalar dependencias: Asegúrese de que httpx esté instalado:
   root@kitploit:~

   pip install httpx
   

Uso

Objetivo Único

Para ejecutar el script en un solo objetivo, use el siguiente comando:

Ejemplo:

Múltiples Objetivos

Para ejecutar el script en múltiples objetivos, cree un archivo de texto con una lista de URLs objetivo (una URL por línea) y use el comando:

Ejemplo:

Ejemplo: Múltiples Objetivos

Si desea utilizar múltiples objetivos, cree un archivo de texto llamado targets.txt o cualquier otro nombre. El formato del archivo debe ser una lista de URLs, con una URL por línea, como se muestra a continuación:

Ejemplo de Salida

Después de que el script se conecta a un objetivo, puede ingresar comandos de shell para ejecutar en el servidor objetivo. Para salir, escriba exit o quit.

Estructura del Código

• get_CSRF_token(client): Obtiene el token CSRF de las cookies en la página principal del objetivo.

  • Entrada: client (un objeto httpx.Client)
  • Salida: El valor del token CSRF, o un error si no se encuentra.

• pwn(client, CSRF_token, cmd): Envía un payload manipulado con el token CSRF y el comando deseado.

  • Entrada: client (un objeto httpx.Client), CSRF_token (cadena), cmd (cadena)
  • Salida: Estado de la solicitud o "Error".

• exploit(client, cmd): Ejecuta la función pwn en el objetivo para ejecutar el comando e imprime la salida.

  • Entrada: client (un objeto httpx.Client), cmd (cadena)

• run_exploit(target): Inicializa una conexión al objetivo e inicia un bucle interactivo de comandos.

  • Entrada: target (cadena, URL del objetivo)
  • Proceso: Recibe comandos del usuario hasta que escriba exit o quit.

• Ejecución Principal: Verifica el argumento para determinar si el objetivo es una URL única o un archivo con múltiples objetivos.

  • Si se proporciona un archivo, lo lee y ejecuta en cada objetivo de la lista.
  • Si se proporciona una URL, ejecuta un único objetivo.

Manejo de Errores y Depuración

Si el token CSRF no se encuentra en las cookies, el script imprimirá todas las cookies recibidas y saldrá con un mensaje de error útil.

Mensajes de Error Comunes

• "Error: CSRF token not found in cookies.": Este error indica que el token CSRF no se encontró en las cookies de respuesta del servidor objetivo. Soluciones:
  • Verifique que el servidor envía un token CSRF en las cookies.
  • Asegúrese de que / sea el endpoint correcto para obtener el token CSRF. Si es diferente, modifique la función get_CSRF_token en consecuencia.

Referencias

Para obtener más información sobre esta vulnerabilidad, consulte los siguientes recursos:

• CVE-2024-51567 en NVD
• Vulnerabilidad de Ejecución Remota de Código en CyberPanel por Ionix
• ¿Cuáles son mis opciones? CyberPanel v2.3.6 Pre-Auth RCE por Dreyand