Preuve de concept de path traversal dans le panneau web du ransomware Jasmin

#À des fins éducatives
https://github.com/codesiddhant/Jasmin-Ransomware
J'ai découvert une vulnérabilité de path traversal sans authentification dans le panneau web du ransomware Jasmin (CVE-2024-30851), permettant à un attaquant de désanonymiser les opérateurs du panneau et de déverser les clés de déchiffrement. Le ransomware Jasmin a été observé dans une récente campagne d'exploitation de TeamCity (CVE-2024-27198, CVE-2024-27199) (https://twitter.com/brody_n77/status/1765145148227555826)

Screencast from 2024-04-04 18-51-07.webm

Exécution après redirection (CWE-698)

Le point d'accès affecté (Jasmin-Ransomware/Web Panel/download_file.php) ne parvient pas à exécuter die() après avoir envoyé l'en-tête Location. Cela permet à un attaquant de contourner les exigences d'authentification. L'appel à readfile n'est pas désinfecté, ce qui permet à un attaquant de lire des fichiers arbitraires.

<?php
session_start();
if(!isset($_SESSION['username']) ){
	header("Location: login.php");
}
$file=$_GET['file'];
if(!empty($file)){
    // Define headers
    header("Cache-Control: public");
    header("Content-Description: File Transfer");
    header("Content-Disposition: attachment; filename=$file");
    header("Content-Type: text/encoded");
    header("Content-Transfer-Encoding: binary");
    
    // Read the file
   readfile($file);

Il y a aussi un tas d'injections SQL, dont l'une est exploitée pour contourner la connexion et obtenir les noms de fichiers des clés de déchiffrement.