Laboratorio de entrenamiento CTF CVE-2026-80428

Emulador educativo de la mecánica de la vulnerabilidad descrita en CVE-2026-80428 (CWE-502: Deserialización de datos no confiables).

Esto no es una instalación real de ILIAS y no es un paquete de exploit armamentizado. Es un laboratorio completamente contenedorizado y aislado para estudiantes, becarios e investigadores de seguridad.

Objetivos de aprendizaje

1. Deserialización insegura CWE-502
2. Inyección de objetos PHP
3. Objetos PHP serializados
4. Manipulación de datos de sesión
5. Endpoints de aplicación exentos de autenticación
6. Ciclo de vida de objetos y __destruct()
7. Conceptos de POP / cadenas de gadgets (solo gadget de entrenamiento seguro)
8. Consecuencias de escritura de archivos accesibles desde la web (en sandbox)
9. Detección y análisis forense
10. Remediación segura
11. Validación de la vulnerabilidad
12. Verificación del parche

Arquitectura

                    ┌──────────────────────┐
                    │      CTF HOST        │
                    └──────────┬───────────┘
                               │  127.0.0.1:8080
                         Docker Network (ctfnet)
                               │
       ┌───────────────────────┼────────────────────────┐
       │                       │                        │
       ▼                       ▼                        ▼
┌──────────────┐       ┌──────────────┐        ┌──────────────┐
│   ATTACKER   │       │    TARGET    │        │   OBSERVER   │
│ Python/curl  │       │ PHP/Apache   │        │ Logs/Evidence│
│ PHP CLI      │       │ Vulnerable   │        │              │
└──────────────┘       │ Emulator     │        └──────────────┘
                       └──────────────┘

Optional parcheado en 127.0.0.1:8081 mediante el perfil de Compose patched.

Requisitos previos

• Docker Engine 24+ y Docker Compose v2
• ~1 GB de disco libre para las imágenes
• No se requieren credenciales en la nube; funciona sin conexión después de descargar las imágenes

Inicio rápido

git clone https://github.com/shivammittal2403/cve-2026-80428-ctf.git
cd cve-2026-80428-ctf
cp .env.example .env
docker compose build
docker compose up -d
docker compose ps

Abrir: http://127.0.0.1:8080/

Shell del atacante:

docker exec -it cve80428-attacker bash

Niveles de desafío (1000 pts)

Nivel	Enfoque	Puntos
1	Reconocimiento	100
2	Descubrimiento de sesión	150
3	Serialización de PHP	150
4	Ciclo de vida del objeto / destructor	200
5	Cadena completa	250
6	Remediación (objetivo parcheado)	150

Flujo de ataque (educativo)

Unauthenticated Request → LTI (/lti.php) → Session Storage
  → Logout (/logout.php) → unserialize() → Object → __destruct()
  → Controlled write (/drop/) → CTF Flag

Consulta docs/ATTACK_FLOW.md.

Modelo de seguridad

• Target vinculado a 127.0.0.1 por defecto
• Sin socket de Docker, sin modo privilegiado
• El gadget escribe solo bajo /var/www/html/drop/ usando basename()
• Sin system() / exec() / reverse shells
• Las plantillas de Nuclei son solo de detección

Makefile

make build && make up
make attacker
make health && make test
make reset

Documentación

Documento	Audiencia
docs/STUDENT.md	Estudiantes
docs/INSTRUCTOR.md	Instructores
docs/VULNERABILITY.md	Mapeo de CVE real ↔ laboratorio
docs/ATTACK_FLOW.md	Diagramas de cadena
docs/REMEDIATION.md	Patrones de parche
docs/SOLUTIONS.md	Solo instructores

Licencia

MIT — solo para uso educativo. Consulte SECURITY.md.