CVE-2026-80428 CTF Training Lab

Emulatore didattico delle meccaniche di vulnerabilità descritte in CVE-2026-80428 (CWE-502: Deserializzazione di dati non attendibili).

Questa non è una reale installazione di ILIAS e non è un pacchetto exploit weaponizzato. È un laboratorio completamente containerizzato e isolato per studenti, tirocinanti e ricercatori di sicurezza.

Obiettivi di apprendimento

1. Deserializzazione non sicura CWE-502
2. Object injection in PHP
3. Oggetti PHP serializzati
4. Manipolazione dei dati di sessione
5. Endpoint applicativi esenti da autenticazione
6. Ciclo di vita degli oggetti e __destruct()
7. Concetti di POP / gadget-chain (solo gadget di training sicuro)
8. Conseguenze della scrittura di file accessibili via web (in sandbox)
9. Rilevamento e analisi forense
10. Remediation sicura
11. Validazione della vulnerabilità
12. Verifica della patch

Architettura

                    ┌──────────────────────┐
                    │      CTF HOST        │
                    └──────────┬───────────┘
                               │  127.0.0.1:8080
                         Docker Network (ctfnet)
                               │
       ┌───────────────────────┼────────────────────────┐
       │                       │                        │
       ▼                       ▼                        ▼
┌──────────────┐       ┌──────────────┐        ┌──────────────┐
│   ATTACKER   │       │    TARGET    │        │   OBSERVER   │
│ Python/curl  │       │ PHP/Apache   │        │ Logs/Evidence│
│ PHP CLI      │       │ Vulnerable   │        │              │
└──────────────┘       │ Emulator     │        └──────────────┘
                       └──────────────┘

Target opzionale con patch su 127.0.0.1:8081 tramite il profilo Compose patched.

Prerequisiti

• Docker Engine 24+ e Docker Compose v2
• ~1 GB di spazio libero su disco per le immagini
• Nessuna credenziale cloud richiesta; funziona offline dopo il pull delle immagini

Avvio rapido

git clone https://github.com/shivammittal2403/cve-2026-80428-ctf.git
cd cve-2026-80428-ctf
cp .env.example .env
docker compose build
docker compose up -d
docker compose ps

Apri: http://127.0.0.1:8080/

Shell dell'attaccante:

docker exec -it cve80428-attacker bash

Livelli della sfida (1000 pts)

Livello	Focus	Punti
1	Ricognizione	100
2	Scoperta della sessione	150
3	Serializzazione PHP	150
4	Ciclo di vita dell'oggetto / distruttore	200
5	Catena completa	250
6	Remediation (target con patch)	150

Flusso di attacco (a scopo didattico)

Unauthenticated Request → LTI (/lti.php) → Session Storage
  → Logout (/logout.php) → unserialize() → Object → __destruct()
  → Controlled write (/drop/) → CTF Flag

Vedi docs/ATTACK_FLOW.md.

Modello di sicurezza

• Target vincolato a 127.0.0.1 per impostazione predefinita
• Nessun socket Docker, nessuna modalità privilegiata
• Il gadget scrive solo sotto /var/www/html/drop/ usando basename()
• Nessun system() / exec() / reverse shell
• I template Nuclei sono solo di rilevamento

Makefile

make build && make up
make attacker
make health && make test
make reset

Documentazione

Documento	Destinatari
docs/STUDENT.md	Studenti
docs/INSTRUCTOR.md	Istruttori
docs/VULNERABILITY.md	Mappatura CVE reali ↔ lab
docs/ATTACK_FLOW.md	Diagrammi della catena
docs/REMEDIATION.md	Pattern di patch
docs/SOLUTIONS.md	Solo istruttori

Licenza

MIT — solo per uso didattico. Vedi SECURITY.md.