🛠️ Exploitation de CVE-2023-4226 pour Chamilo LMS

📋 Description

Script Python qui automatise l'exploitation de CVE-2023-4226, une vulnérabilité de téléchargement de fichiers sans restriction dans Chamilo LMS (<= v1.11.24). Télécharge un web shell PHP basé sur PentesterMonkey et configure .htaccess pour obtenir une reverse shell. Plus de détails : Advisory de STAR Labs.

🔍 Vulnérabilité

• Produit: Chamilo LMS
• Sévérité: Élevée (CVSS 3.1: 8.8)
• Versions affectées: <= v1.11.24
• Description: Les utilisateurs ayant le rôle d'apprenant peuvent télécharger des fichiers PHP dans /main/inc/ajax/work.ajax.php, permettant une RCE.
• CWE: CWE-434 (Téléchargement dangereux de fichiers)

🚀 Fonctionnalités

1. Demande :
   • URL cible.
   • Cookie de session (ch_sid).
   • IP et port de l'attaquant pour la reverse shell.
2. Modifie rce.php avec l'IP et le port.
3. Exécute :
   • GET vers /main/work/work.php?cidReq=HW.
   • POST vers /main/inc/ajax/work.ajax.php pour télécharger rce.php et .htaccess.
4. Affiche l'URL du web shell (/app/cache/rce.php).

📦 Prérequis

• Python : requests, colorama.

  pip install requests colorama
  
  

• Fichiers : rce.php (PentesterMonkey, inclus dans le dépôt), .htaccess (généré par le script).

• Réseau : IP et port pour l'écouteur (ex. nc -lvnp 4444).

🛠️ Utilisation

1. Clone le dépôt :

   git clone https://github.com/SkyW4r33x/CVE-2023-4226
   cd CVE-2023-4226    
   

2. Attribue les permissions d'exécution au script :

   chmod +x CVE-2023-4226.py    
   

3. Installe les dépendances :

   pip install requests colorama    
   

4. Démarre l'écouteur dans un terminal :

   nc -lvnp 4444    
   

5. Exécute le script :

   ./CVE-2023-4226.py    
   

6. Saisis :

   • URL du Chamilo.
   • Cookie ch_sid.
   • IP et port de l'écouteur.

7. Accède au web shell pour lancer la reverse shell :

   http://<chamilo>/app/cache/rce.php    
   

   Exemple : http://chamilo.local/app/cache/rce.php

🛡️ Mesures d'atténuation

• Mets à jour vers Chamilo >= v1.11.26.

• Nettoie les noms de fichiers.

• Bloque le HTML dans disable_dangerous_file().

• Ajoute dans .htaccess :

  RedirectMatch 403 ^/main/inc/lib/javascript/bigupload/files
  Header set X-Content-Type-Options nosniff    
  

⚠️ Avertissement légal

Utilisation exclusive pour tests autorisés. Toute utilisation non autorisée est illégale.

🙌 Crédits

• Vulnérabilité : Ngo Wei Lin (@Creastery), STAR Labs.
• Script : SkyW4r33x