HeimShell (CVE-2023-51803)

HeimShell es un exploit para CVE-2023-51803 que aprovecha una vulnerabilidad de carga arbitraria de archivos en LinuxServer.io Heimdall (≤ 2.5.6). Detecta automáticamente la versión del objetivo y advierte sobre la explotabilidad u obtiene de forma remota un shell PHP definido por SHELL_URL

• ≤ 2.2.2: Es posible la carga arbitraria de archivos, pero los archivos se sirven estáticamente y las URLs no se obtienen de forma remota
• ≥ 2.2.3 y ≤ 2.5.6: obtiene de forma remota un shell PHP mediante la carga de una URL de icono

---

• Verificación de versión: Recupera /settings y analiza el campo Version para garantizar que existe la capacidad de carga arbitraria.
• Obtención del token CSRF: Carga /items/create y extrae la entrada oculta _token.
• Despliegue del shell: Para versiones ≥ 2.2.3, usa el parámetro icon que apunta a una URL de shell PHP remoto en un servidor web
• Enumeración de elementos: Extrae la lista de elementos (/items) para encontrar la entrada del panel que coincida con la etiqueta aleatoria.
• Extracción de la URL del shell: Comprueba la página de edición (/items/<id>/edit), encuentra el elemento icon o #appimage img e imprime la URL del shell.

python heimShell.py <base_url>
detected version: 2.4.13
☠  shell uploaded at: <base_url>/storage/icons/abc123DEF456.php

Referencias

https://nvd.nist.gov/vuln/detail/CVE-2023-51803

https://rz.my/2024/06/cve-2023-51803-arbitrary-file-upload-in-linuxserverio-heimdall.html

Aviso legal

Esta herramienta es solo para pruebas de seguridad autorizadas. El uso no autorizado contra sistemas que no posees o para los que no tienes permiso explícito de prueba es ilegal y poco ético.