🔍 Descrizione

Una vulnerabilità critica di Iniezione di Comandi di Sistema è presente nell'azione export_all_certificates di main/inc/ajax/gradebook.ajax.php in Chamilo LMS v1.11.32.

L'applicazione recupera un codice corso tramite api_get_course_id(), che legge direttamente da $_SESSION['_cid']. Questo valore derivato dalla sessione viene concatenato senza sanitizzazione in una chiamata shell_exec() — nessun escapeshellarg(), nessuna validazione tramite whitelist, nessun controllo di tipo.

Un attaccante che riesce a manipolare o avvelenare la variabile _cid della propria sessione (tramite session poisoning, concatenamento di IDOR o altre primitive di manipolazione della sessione) può iniettare metacaratteri di shell arbitrari e ottenere piena esecuzione remota di codice come utente del server web (www-data).

🧩 Analisi della Causa Radice

File Vulnerabile: main/inc/ajax/gradebook.ajax.php
Funzione Vulnerabile: export_all_certificates

Quando un utente attiva l'azione export_all_certificates, lo script tenta di avviare un processo in background per elaborare i certificati:

Poiché l'applicazione si fida implicitamente del contenuto delle variabili di sessione e non le esegue correttamente l'escape prima di inviarle alla shell di sistema, un attaccante con una sessione manipolata può aggiungere ed eseguire comandi dannosi. Ad esempio, se _cid contiene "; touch /tmp/remote_code_by_k; #", il comando interpretato dalla shell bash/sh diventa:

La shell esegue lo script CLI, seguita dal payload iniettato, e ignora il resto della stringa di comando prevista.

💣 Prova di Concetto

1. Avvelenamento della Sessione: L'attaccante deve prima influenzare la variabile $_SESSION['_cid']. Ciò può essere ottenuto concatenando questa falla con una vulnerabilità di session poisoning o manipolando il valore del codice corso attraverso un IDOR o una gestione non sicura dei parametri altrove nell'applicazione per aggiornare il contesto della propria sessione.
2. Iniezione del Payload: Impostare la variabile di sessione _cid su: "; [MALICIOUS_COMMAND]; #"
3. Esecuzione: Inviare una richiesta GET a: /main/inc/ajax/gradebook.ajax.php?a=export_all_certificates&cat_id=1 con il cookie di sessione avvelenato.
4. Risultato: Il server esegue ciecamente il comando iniettato con i privilegi dell'utente dell'applicazione web (www-data).

📊 Analisi dell'Impatto

🛡️ Raccomandazioni

• Applicare escapeshellarg(): Avvolgere tutte le variabili derivate dall'utente (come $courseCode, $sessionId e $userList) con escapeshellarg() di PHP prima di passarli a shell_exec() per neutralizzare metacaratteri di sistema arbitrari.
• Validazione Rigorosa della Sessione: Assicurarsi che le variabili memorizzate nello stato della sessione (ad es. $_SESSION['_cid']) siano tipizzate rigidamente e sanificate, in modo che potenziali attacchi di "Session Poisoning" o concatenamento di IDOR siano bloccati al punto di ingresso.
• Applicare il Principio del Minimo Privilegio: Configurare il servizio del server web ( www-data) con permessi di scrittura restrittivi sul filesystem e limitare l'accesso dell'applicazione ai binari di shell Linux essenziali per mitigare le capacità post-exploitation.

🧪 Ambiente

📎 Riferimenti

• Repository Ufficiale di Chamilo LMS
• CWE-78: Iniezione di Comandi di Sistema
• OWASP: Iniezione di Comandi
• CVE-2026-29041 — Precedente RCE su Chamilo (CWE-434, CVSS 8.8) dello stesso ricercatore

👤 Ricercatore

_{⚡Prova di più.}