CVE-2024-28000 — Laboratorio LiteSpeed Cache de WordPress

Reproducción autorizada en laboratorio local de CVE-2024-28000, un problema de escalada de privilegios no autenticada que afecta a versiones vulnerables del plugin LiteSpeed Cache de WordPress.

Alcance: Este repositorio documenta pruebas realizadas únicamente contra una VM de WordPress aislada y controlada personalmente. No utilice estas técnicas contra sistemas que no posea o para los que no tenga permiso explícito de prueba.

Resultado

La vulnerabilidad se reprodujo con éxito de extremo a extremo desde una VM atacante Kali contra un objetivo WordPress Ubuntu aislado que ejecutaba LiteSpeed Cache 6.2.0.1.

Ruta de ataque demostrada:

1. Se enumeró el objetivo WordPress y la instalación de LiteSpeed Cache.
2. Se alcanzó el manejador asíncrono de crawler de LiteSpeed no autenticado.
3. Se activó la ruta de crawler forzado para que se generara el hash vulnerable de simulación de rol.
4. Se generó localmente el espacio de hash determinista de 1,000,000 de candidatos del plugin vulnerable.
5. Se recuperó el hash válido de simulación de rol de forma remota usando ffuf y una respuesta REST exclusiva de Administrador como oráculo de éxito.
6. Se confirmó el contexto de Administrador con HTTP 200 desde la API REST de usuarios de WordPress.
7. Se creó una cuenta de Administrador desechable vía REST (HTTP 201 Created).
8. Se eliminó la cuenta desechable tras la recopilación de evidencia.
9. Las pruebas de control anteriores confirmaron que LiteSpeed Cache 6.4 rechaza la técnica de cookie vulnerable con HTTP 401.

Topología del Laboratorio

El objetivo se colocó en una red Host-Only de VMware sin ruta predeterminada durante las pruebas de explotación.

Stack del Objetivo

• Ubuntu Server 22.04
• Apache 2.4.52
• WordPress 7.1
• LiteSpeed Cache 6.2.0.1 — estado de prueba vulnerable
• LiteSpeed Cache 6.4 — estado de comparación parcheado

Hallazgo Clave

Un hash vulnerable de simulación de rol de LiteSpeed Cache podía generarse y recuperarse de forma remota. Al proporcionar el hash recuperado junto con el ID de usuario Administrador, WordPress operaba en contexto de Administrador sin una sesión normal autenticada de WordPress.

El impacto se demostró creando una cuenta de Administrador persistente y desechable a través de la API REST de WordPress.

Contenido del Repositorio

.
├── README.md
├── REPORT.md
├── RUNBOOK.md
├── LICENSE
├── .gitignore
├── docs/
│   ├── architecture.md
│   ├── evidence-checklist.md
│   └── publication-redaction.md
├── scripts/
│   ├── generate_hashes.php
│   └── verify_candidate.sh
└── evidence/
    └── .gitkeep

Uso Responsable

Este repositorio está destinado a la educación en seguridad defensiva, reproducción de vulnerabilidades, validación de remediaciones y documentación de portafolio en entornos controlados.