CVE-2024-43425-Poc

Resumen de CVE

ID de CVE: CVE-2024-43425

Descripción: Moodle permite a un usuario autenticado con nivel de profesor cargar una pregunta calculada maliciosa a través de la interfaz del editor de cuestionarios.

Impacto: Ejecución remota de código (RCE)

Causa: Sanitización inadecuada de los payloads matemáticos en las preguntas calculadas, lo que conduce a una inyección de comandos a través del asistente de conjuntos de datos.

##Requisitos:

Credenciales de inicio de sesión válidas Acceso a la interfaz de edición de cuestionarios (generalmente un rol de profesor o administrador) cmid conocido (ID del módulo del cuestionario) y courseid

##Este script realiza un ataque de 5 pasos:

Paso Descripción 1️ Obtener token de inicio de sesión (logintoken) 2️ Iniciar sesión y establecer una MoodleSession válida 3️ Extraer sesskey, ctxid y categoría de la página de edición del cuestionario 4️ Subir una pregunta calculada especialmente diseñada con un payload de RCE 5️ Disparar el payload a través de la página del asistente de conjuntos de datos

##Instrucciones de uso

Requisitos: Python 3 Librerías de Python: requests, bs4 (BeautifulSoup)

pip3 install requests bs4

python3 exploit_cve_2024_43425.py \
  --url http://192.168.2.12/moodle \
  --username test \
  --password 'Test@123' \
  --courseid 1 \
  --cmid 1 \
  --cmd 'whoami'

##Payload utilizado:

answer[0] = "(1)->{system($_GET[chr(97)])}"