CVE-2024-28000 — Laboratoire WordPress LiteSpeed Cache

Reproduction autorisée en laboratoire local de CVE-2024-28000, un problème d'élévation de privilèges sans authentification affectant les versions vulnérables du plugin WordPress LiteSpeed Cache.

Portée : Ce dépôt documente des tests effectués uniquement contre une VM WordPress isolée et contrôlée personnellement. N'utilisez pas ces techniques contre des systèmes qui ne vous appartiennent pas ou pour lesquels vous ne disposez pas d'une autorisation explicite de test.

Résultat

La vulnérabilité a été reproduite avec succès de bout en bout depuis une VM d'attaque Kali contre une cible WordPress Ubuntu isolée exécutant LiteSpeed Cache 6.2.0.1.

Chemin d'attaque démontré :

1. Énumération de la cible WordPress et de l'installation LiteSpeed Cache.
2. Accès au gestionnaire de crawler asynchrone LiteSpeed non authentifié.
3. Déclenchement du chemin de crawler forcé afin que le hash vulnérable de simulation de rôle soit généré.
4. Génération locale de l'espace de hash déterministe de 1 000 000 de candidats du plugin vulnérable.
5. Récupération à distance du hash de simulation de rôle valide à l'aide de ffuf et d'une réponse REST réservée à l'Administrateur comme oracle de succès.
6. Confirmation du contexte Administrateur avec HTTP 200 depuis l'API REST des utilisateurs WordPress.
7. Création d'un compte Administrateur jetable via REST (HTTP 201 Created).
8. Suppression du compte jetable après la collecte des preuves.
9. Un test de contrôle antérieur a confirmé que LiteSpeed Cache 6.4 rejette la technique de cookie vulnérable avec HTTP 401.

Topologie du laboratoire

La cible a été placée sur un réseau Host-Only VMware sans route par défaut pendant les tests d'exploitation.

Stack cible

• Ubuntu Server 22.04
• Apache 2.4.52
• WordPress 7.1
• LiteSpeed Cache 6.2.0.1 — état de test vulnérable
• LiteSpeed Cache 6.4 — état de comparaison corrigé

Constat principal

Un hash de simulation de rôle LiteSpeed Cache vulnérable a pu être généré et récupéré à distance. La fourniture du hash récupéré ainsi que de l'ID utilisateur Administrateur a amené WordPress à fonctionner dans le contexte Administrateur sans session WordPress authentifiée normale.

L'impact a été démontré en créant un compte Administrateur jetable persistant via l'API REST de WordPress.

Contenu du dépôt

.
├── README.md
├── REPORT.md
├── RUNBOOK.md
├── LICENSE
├── .gitignore
├── docs/
│   ├── architecture.md
│   ├── evidence-checklist.md
│   └── publication-redaction.md
├── scripts/
│   ├── generate_hashes.php
│   └── verify_candidate.sh
└── evidence/
    └── .gitkeep

Utilisation responsable

Ce dépôt est destiné à l'éducation en sécurité défensive, à la reproduction de vulnérabilités, à la validation de correctifs et à la documentation de portfolio dans des environnements contrôlés.