CVE-2024-2961 (CNEXT) Script de adaptación del canal XXE

Adapta el script de explotación de lectura de archivos PHP -> RCE del cnext-exploits oficial de Ambionics al escenario de subida de SVG + XXE de lectura arbitraria de archivos (tipo de reto "subidor de avatares" de PolarisCTF 2026).

Requisitos previos

• Objetivo: Linux + glibc < 2.39 (Ubuntu 20.04 requiere < 2.31-0ubuntu9.15, USN-6737-1 ya corregido) + PHP (probado con PHP 7.3)
• Primitiva de lectura: permitir que PHP lea rutas arbitrarias mediante XXE / LFI, con soporte para php://filter, data://, zlib (el script check_vulnerable() lo verifica automáticamente)
• Local: Python 3.10+, pip install -r requirements.txt (pwntools, ten, requests)

Diferencias con el original (puntos clave de adaptación)

1. Reescritura de la clase Remote: traduce "hacer que PHP lea una ruta" al flujo XXE del reto: subir un SVG con entidad externa -> actualizar avatar_name -> solicitar el endpoint de parseo para obtener el eco.
2. Separador de filtros | -> /: cuando la URL de la entidad XML contiene |, libxml falla al parsear (probado: DOMDocument devuelve un documento vacío); php://filter admite filtros desnudos sin prefijo separados por /, equivalente a read=a|b|c.
3. LIBC_FILE se cambió a una ruta relativa (funciona tanto en Windows como en Linux).
4. download_file ahora usa open() para escribir (la Path exportada por la librería ten es una subclase de PosixPath, no instanciable en Windows).

Uso

1. Edita la clase Remote al inicio del script: introduce la URL de la API del reto y las credenciales.
2. Traduce la primitiva de lectura del objetivo a Remote.send/download (la implementación de ejemplo está pensada para la forma de API de "subir SVG + parsear al visualizar"; para otras formas, imita el patrón).
3. Ejecuta (el comando no tiene eco; usa redirección para volcar el archivo y luego léelo, o usa -s con temporización para verificar):

python cnext-exploit-xxe-polaris.py <url> '/readflag > /var/www/html/uploads/flag_out.txt' -s 2

Cuando veas EXPLOIT SUCCESS, usa la primitiva de lectura para recuperar el archivo de salida.

Notas

• Solo para competiciones CTF e investigación de seguridad en entornos autorizados.
• Upstream: https://github.com/ambionics/cnext-exploits (Charles Fol @cfreal_, Ambionics/LEXFO)
• Vulnerabilidad: CVE-2024-2961 (escritura fuera de límites en glibc iconv ISO-2022-CN-EXT), aviso GLIBC-SA-2024-0004; análisis del principio: https://www.ambionics.io/blog/iconv-cve-2024-2961-p1