CVE-2023-41892 Craft CMS PoC

Questa repository contiene script proof-of-concept e un lab locale Vulhub per riprodurre CVE-2023-41892, una vulnerabilità di esecuzione remota di codice che non richiede autenticazione in Craft CMS.

Usa questo progetto solo in un lab locale autorizzato o su altri sistemi per cui disponi di esplicito permesso di test.

Struttura del progetto

CVE-2323-41892_PoC/
+-- README.md
+-- LFI_to_RCE.py
+-- Imagick_PoC.py
+-- Vulnhub_env/
    +-- docker-compose.yml
    +-- README.md
    +-- README.zh-cn.md
    +-- 1.png ... 5.png

Scopo dei file

Riepilogo della vulnerabilità

CVE-2023-41892 interessa le versioni di Craft CMS dalla 4.0.0-RC1 alla 4.4.14. Il problema è stato corretto in Craft CMS 4.4.15.

L'endpoint vulnerabile usato da entrambi gli script è:

/index.php?action=conditions/render

I PoC hanno come obiettivo l'URL predefinito del lab locale:

http://localhost:8088

Se il tuo lab è in esecuzione su un altro host o porta, aggiorna il valore URL vicino all'inizio di LFI_to_RCE.py e Imagick_PoC.py.

Requisiti

• Docker e Docker Compose
• Python 3
• Pacchetto Python: requests

Installa la dipendenza Python:

pip install requests

Configurazione del lab

Avvia l'ambiente Craft CMS vulnerabile:

cd Vulnhub_env
docker compose up -d

Apri il programma di installazione di Craft CMS:

http://localhost:8088/admin/install

Usa le seguenti impostazioni predefinite del database durante l'installazione:

Dopo l'installazione, verifica che il sito sia raggiungibile all'indirizzo:

http://localhost:8088

Utilizzo

Esegui i comandi dalla radice della repository:

cd CVE-2323-41892_PoC

PoC 1: Log Poisoning per RCE

Esegui:

python LFI_to_RCE.py

Cosa fa:

1. Invia JSON malformato contenente codice PHP al log di Craft CMS.

2. Costruisce un percorso del file di log usando la data locale corrente:

   root@kitploit:~

   ../storage/logs/web-YYYY-MM-DD.log
   

3. Usa craft\elements\conditions\users\UserCondition con \Psy\Configuration per includere il file di log avvelenato.

4. Controlla se l'output di phpinfo() appare nella risposta.

Output previsto in caso di successo:

[*] Starting Log Poisoning...
[+] Payload sent successfully!
[*] Starting LFI to RCE...
[+] phpinfo() executed successfully!

PoC 2: Scrittura di file tramite Imagick MSL

Esegui:

python Imagick_PoC.py

Cosa fa:

1. Carica un payload MSL tramite dati multipart form-data.
2. Attiva la creazione di oggetti con il gadget Imagick.
3. Tenta di scrivere webshell.php nella web root.
4. Invia una richiesta a http://localhost:8088/webshell.php e controlla la presenza di phpinfo().

Output previsto in caso di successo:

[*] Sending multipart/form-data payload to trigger Imagick gadget...
[+] Success: phpinfo() output found.

La procedura Imagick può causare il crash del worker PHP dopo l'attivazione del payload. Nel lab Vulhub questo può comunque essere normale se webshell.php viene scritto prima del crash.

Configurazione

Entrambi gli script definiscono l'URL di destinazione all'inizio del file:

URL = "http://localhost:8088"

Modifica questo valore se il lab vulnerabile è esposto su un altro indirizzo.

Imagick_PoC.py verifica il file generato in:

OUTPUT_FILE = "/webshell.php"

Risoluzione dei problemi

Gli script non riescono a connettersi

• Verifica che i container siano in esecuzione:

  root@kitploit:~

  cd Vulnhub_env
  docker compose ps
  

• Verifica che il sito sia raggiungibile all'indirizzo http://localhost:8088.

• Controlla se un altro servizio sta già usando la porta 8088.

• Aggiorna il valore URL negli script Python se hai cambiato la porta esposta.

LFI_to_RCE.py non mostra PHP Version

• Verifica che l'installazione di Craft CMS sia completa.
• Verifica che Craft CMS stia scrivendo i log in storage/logs/.
• Controlla che la data nel nome del file di log corrisponda alla data del container.
• Se le date di host e container differiscono, aggiorna il percorso web-YYYY-MM-DD.log generato in LFI_to_RCE.py.

Imagick_PoC.py restituisce 404 per /webshell.php

• Verifica che l'estensione PHP Imagick sia abilitata nell'ambiente di destinazione.
• Verifica che il processo PHP possa scrivere nella web root.
• Verifica che i file temporanei caricati vengano creati in /tmp/php*.
• Riprova una volta se il worker PHP è crashato durante la richiesta di attivazione.

Pulizia

Arresta il lab:

cd Vulnhub_env
docker compose down

Rimuovi i container e il volume del database se vuoi una reinstallazione pulita:

docker compose down -v

Mitigazione

Aggiorna Craft CMS alla versione 4.4.15 o successiva.

Se si sospetta uno sfruttamento della vulnerabilità, ruota la chiave di sicurezza di Craft CMS, le credenziali del database, i segreti dell'applicazione e qualsiasi credenziale memorizzata nell'ambiente.

Riferimenti

• Riproduzione Vulhub: https://github.com/vulhub/vulhub/blob/master/craftcms/CVE-2023-41892/README.md
• Avviso di sicurezza Craft CMS: https://github.com/craftcms/cms/security/advisories/GHSA-4w8r-3xrw-v25g
• Voce NVD: https://nvd.nist.gov/vuln/detail/CVE-2023-41892