CVE-2024-28000 — Lab LiteSpeed Cache WordPress

Riproduzione autorizzata in laboratorio locale di CVE-2024-28000, una vulnerabilità di escalation dei privilegi non autenticata che interessa le versioni vulnerabili del plugin WordPress LiteSpeed Cache.

Ambito: Questo repository documenta test eseguiti esclusivamente contro una VM WordPress isolata e controllata personalmente. Non utilizzare queste tecniche su sistemi di cui non si è proprietari o per cui non si dispone di autorizzazione esplicita al test.

Risultato

La vulnerabilità è stata riprodotta con successo end-to-end da una VM attaccante Kali contro un target WordPress Ubuntu isolato con LiteSpeed Cache 6.2.0.1.

Percorso di attacco dimostrato:

1. Enumerato il target WordPress e l'installazione di LiteSpeed Cache.
2. Raggiunto l'handler asincrono del crawler di LiteSpeed senza autenticazione.
3. Attivato il percorso di crawler forzato così da generare l'hash vulnerabile di simulazione del ruolo.
4. Generato localmente lo spazio deterministico di 1.000.000 di candidati per l'hash del plugin vulnerabile.
5. Recuperato l'hash valido di simulazione del ruolo da remoto usando ffuf e una risposta REST riservata agli Amministratori come oracolo di successo.
6. Confermato il contesto Amministratore con HTTP 200 dall'API REST degli utenti di WordPress.
7. Creato un account Amministratore usa e getta tramite REST (HTTP 201 Created).
8. Eliminato l'account usa e getta dopo la raccolta delle prove.
9. Test di controllo precedenti hanno confermato che LiteSpeed Cache 6.4 rifiuta la tecnica del cookie vulnerabile con HTTP 401.

Topologia del Laboratorio

Il target è stato collocato su una rete Host-Only VMware senza route predefinita durante i test di sfruttamento.

Stack del Target

• Ubuntu Server 22.04
• Apache 2.4.52
• WordPress 7.1
• LiteSpeed Cache 6.2.0.1 — stato di test vulnerabile
• LiteSpeed Cache 6.4 — stato di confronto corretto

Riscontro Chiave

Un hash vulnerabile di simulazione del ruolo di LiteSpeed Cache poteva essere generato e recuperato da remoto. Fornire l'hash recuperato insieme all'ID utente Amministratore ha fatto sì che WordPress operasse in contesto Amministratore senza una normale sessione WordPress autenticata.

L'impatto è stato dimostrato creando un account Amministratore persistente usa e getta attraverso l'API REST di WordPress.

Contenuto del Repository

.
├── README.md
├── REPORT.md
├── RUNBOOK.md
├── LICENSE
├── .gitignore
├── docs/
│   ├── architecture.md
│   ├── evidence-checklist.md
│   └── publication-redaction.md
├── scripts/
│   ├── generate_hashes.php
│   └── verify_candidate.sh
└── evidence/
    └── .gitkeep

Uso Responsabile

Questo repository è pensato per l'educazione alla sicurezza difensiva, la riproduzione di vulnerabilità, la validazione delle remediation e la documentazione di portfolio in ambienti controllati.