fatkz/cve-2022-24112Exploit de preuve de concept pour la RCE d'Apache APISIX 2.12.x (CVE-2022-24112) via l'injection Lua filter_func. Exécute des commandes système arbitraires sur les cibles vulnérables.
Ce script Python est une preuve de concept (PoC) pour une vulnérabilité d'exécution de code à distance (RCE) dans les versions 2.12.0 et 2.12.1 d'Apache APISIX.
La vulnérabilité réside dans l'utilisation abusive du champ Lua filter_func dans l'API d'administration, permettant à un attaquant d'injecter du code Lua arbitraire qui exécute des commandes système via io.popen. La réponse de la commande est renvoyée dans la réponse HTTP en utilisant ngx.say().
⚠️ AVERTISSEMENT : Cet outil est destiné uniquement à des tests autorisés et à des fins éducatives. Ne l'utilisez pas sur des systèmes dont vous n'êtes pas propriétaire ou pour lesquels vous n'avez pas d'autorisation explicite de test.
requests (pip install requests)exploit.py
python3 exploit.py -d <target_domain_or_ip> -p <port> -c <command>
python3 exploit.py -d 127.0.0.1 -p 9080 -c id
python3 exploit.py --domain 192.168.1.100 --cmd "uname -a"
python3 exploit.py -d vulnerable.host.local -c "cat /etc/passwd"