CVE-2026-35196 · Chamilo LMS · Inyección de Comandos del SO → RCE

Investigador: K
Tipo de Divulgación: Divulgación Responsable
Estado: Parcheado
Producto Afectado: Chamilo LMS < 2.0 (Confirmado en v1.11.32)

📋 Resumen de Vulnerabilidad

🔍 Descripción

Existe una vulnerabilidad crítica de Inyección de Comandos del SO en la acción export_all_certificates de main/inc/ajax/gradebook.ajax.php dentro de Chamilo LMS v1.11.32.

La aplicación obtiene un código de curso mediante api_get_course_id(), que lee directamente de $_SESSION['_cid']. Este valor derivado de la sesión se concatena sin sanitizar en una llamada a shell_exec() — sin escapeshellarg(), sin validación de lista blanca, sin aplicación de tipo.

Un atacante que pueda manipular o envenenar la variable _cid de su sesión (a través de envenenamiento de sesión, encadenamiento de IDOR u otras primitivas de manipulación de sesión) puede inyectar metacaracteres de shell arbitrarios y lograr ejecución remota de código completa como el usuario del servidor web (www-data).

🧩 Análisis de Causa Raíz

Archivo Vulnerable: main/inc/ajax/gradebook.ajax.php
Función Vulnerable: export_all_certificates

Cuando un usuario activa la acción export_all_certificates, el script intenta ejecutar un proceso en segundo plano para procesar certificados:

$courseCode = api_get_course_id(); // Retrieves the value from $_SESSION['_cid']
$sessionId = api_get_session_id();
// ...
$commandScript = api_get_path(SYS_CODE_PATH).'gradebook/cli/export_all_certificates.php';
$userList = implode(',', $userList);

// Flaw: Variables like $courseCode are passed directly to the shell without escapeshellarg()
shell_exec("php $commandScript $courseCode $sessionId $categoryId $userList > /dev/null &");

Debido a que la aplicación confía implícitamente en el contenido de las variables de sesión y falla al escaparlas adecuadamente antes de enviarlas al shell del sistema, un atacante con una sesión manipulada puede añadir y ejecutar comandos maliciosos. Por ejemplo, si _cid contiene "; touch /tmp/remote_code_by_k; #", el comando interpretado por el shell bash/sh se convierte en:

php /var/www/chamilo/main/gradebook/cli/export_all_certificates.php ; touch /tmp/remote_code_by_k; # ... > /dev/null &

El shell ejecuta el script CLI, seguido del payload inyectado, e ignora el resto de la cadena de comando prevista.

💣 Prueba de Concepto

1. Envenenamiento de Sesión: El atacante debe primero influir en la variable $_SESSION['_cid']. Esto puede lograrse encadenando esta falla con una vulnerabilidad de envenenamiento de sesión o manipulando el valor del código de curso a través de un IDOR o manejo inseguro de parámetros en otra parte de la aplicación para actualizar su contexto de sesión.
2. Inyección de Payload: Establecer la variable de sesión _cid a: "; [COMANDO_MALICIOSO]; #"
3. Ejecución: Enviar una solicitud GET a: /main/inc/ajax/gradebook.ajax.php?a=export_all_certificates&cat_id=1 con la cookie de sesión envenenada.
4. Resultado: El servidor ejecuta ciegamente el comando inyectado con los privilegios del usuario de la aplicación web (www-data).

📊 Análisis de Impacto

🛡️ Recomendaciones

• Aplicar escapeshellarg(): Envolver todas las variables derivadas del usuario (como $courseCode, $sessionId y $userList) con escapeshellarg() de PHP antes de pasarlas a shell_exec() para neutralizar metacaracteres arbitrarios del SO.
• Validación Estricta de Sesión: Asegurar que las variables almacenadas en el estado de la sesión (por ejemplo, $_SESSION['_cid']) estén tipificadas rígidamente y sanitizadas para que posibles ataques de "Envenenamiento de Sesión" o encadenamiento de IDOR sean bloqueados en el punto de entrada.
• Aplicar Mínimo Privilegio: Configurar el servicio del servidor web (www-data) con permisos de escritura restrictivos en el sistema de archivos y limitar el acceso de la aplicación a binarios esenciales del shell de Linux para mitigar capacidades posteriores a la explotación.

🧪 Entorno

📎 Referencias

• Repositorio Oficial de Chamilo LMS
• CWE-78: Inyección de Comandos del SO
• OWASP: Inyección de Comandos
• CVE-2026-29041 — RCE previo de Chamilo (CWE-434, CVSS 8.8) por el mismo investigador

👤 Investigador

Handle  : K
GitHub  : https://github.com/kx00007
Enfoque : Vulnerabilidad RCE del lado del servidor, Caza de CVE, Investigación de Vulnerabilidades, Desarrollo de Exploits
Anterior: CVE-2026-29041 (Chamilo LMS — RCE Autenticado mediante Carga de Archivos)

_{⚡Intenta Más Duro.}