CVE-2023-25690

Description de CVE-2023-25690:

• Certaines configurations de mod_proxy sur Apache HTTP Server des versions 2.4.0 à 2.4.55 permettent une attaque par HTTP Request Smuggling (technique d'attaque interférant avec le traitement par le serveur web des chaînes de requêtes HTTP reçues d'un ou plusieurs utilisateurs).
• Ces configurations sont affectées lorsque mod_proxy est activé avec certaines formes de RewriteRule ou ProxyPassMatch, où un attaquant distant peut exploiter cette vulnérabilité pour contourner les mesures de contrôle d'accès sur le serveur proxy, autorisant ainsi des URL non souhaitées vers le serveur d'origine.
• Cette vulnérabilité permet à un attaquant de cibler et d'accéder à des applications internes cachées par le proxy, pouvant entraîner un accès non autorisé, une fuite de données ou une exploitation plus poussée du système.

Expérimentation de CVE-2023-25690

• Utilisation d'une machine Windows comme machine attaquante
• Les parties backend-server et proxy-server sont déployées via Docker sur une machine Kali Linux

Structure du fichier lab:

Modèle d'expérimentation

• Adresse IP de la machine Windows 10 : 192.168.1.177
• Adresse IP de la machine Kali Linux : 192.168.27.139
• Adresse IP du Backend-Server : 172.18.0.2
• Adresse IP du Proxy-Server : 172.18.0.3
• Lorsque la machine Windows 10 accède à Apache HTTP Server hébergé sur la machine Kali sur le port 80, le trafic est redirigé vers le port 80 du Proxy-Server et transféré au Backend-Server via le port 8080

Configuration système requise

• Machine attaquante :
  • Système d'exploitation Windows 10
  • Installation des outils : Pycharm, BurpSuite, VScode
  • Utilisation du navigateur FireFox et installation de l'extension FoxyProxy pour configurer le proxy
• Machine victime :
  • Installation des outils et services : Docker, Tcpdump
  • Configuration du fichier Docker (voir l'annexe)

Objectif de l'exploitation : tirer parti de la vulnérabilité HTTP Request Smuggling pour contourner les restrictions du serveur proxy et accéder à une fonction cachée sur la page admin.php

Mise en œuvre expérimentale :

• Utilisation de BurpSuite Community configuré en proxy pour intercepter et modifier les requêtes
• Dans le navigateur, télécharger l'extension FoxyProxy et ajouter les informations du proxy :
• Activer FoxyProxy dans la barre d'outils (dans la partie extensions du navigateur) en passant de Turn Off à BurpSuite Commu :
• Dans BurpSuite, activer l'interception sur ON pour capturer les paquets :
• Sur la machine Kali, utiliser la commande cd pour naviguer dans le dossier lab contenant le fichier docker-composer.yml et exécuter docker-composer avec la commande : docker-composer up --build

Vérification de l'injection CRLF :

• Tout d'abord, nous envoyons une requête contenant des caractères de contrôle (CRLF) au système comme suit : HTTP/1.1\r\nFoo: baarr\r\r\n\n et encodons l'URL en : %20HTTP/1.1%0d%0aFoo:%20baarr
  
  => On peut voir que, lorsque nous insérons des caractères CRLF (%0d%0a), le serveur traite notre requête sans renvoyer aucune erreur ou restriction, ce qui montre que nous pouvons complètement insérer des caractères CRLF.

Vérification du HTTP Request Smuggling :

• Ensuite, nous avons un URI comme suit : /categories/1 HTTP/1.1\r\nHost: Localhost\r\n\r\nGET /SMUGGLED, nous encodons ensuite l'URL pour obtenir : /categories/1%20HTTP/1.1%0d%0aHost:%20localhost%0d%0a%0d%0aGET%20/SMUGGLED/
  
• Après avoir appliqué la RewriteRule, on peut voir que l'URL sera analysée et que la requête que nous avons envoyée après être passée par le proxy sera transformée au format suivant :
  
• On peut voir qu'avec une seule requête envoyée, le serveur reçoit et renvoie jusqu'à 2 réponses : une pour GET /categories et une pour GET /SMUGGLED