Exploitation-of-a-Remote-Code-Execution-vulnerability--CVE-2024-7954-

Sfruttamento di una vulnerabilità di esecuzione remota di codice - (CVE-2024-7954)

2. Descrizione della vulnerabilità

Il plugin porte_plume (prima delle versioni 4.30-alpha2, 4.2.13, 4.1.16) è vulnerabile a causa di una sanitizzazione insufficiente dell'input fornito dall'utente. Gli attaccanti possono iniettare codice PHP in specifici campi del modulo che successivamente viene renderizzato ed eseguito dal server.

Impatto: Esecuzione remota di codice non autenticata Gravità: Critica Vettore di attacco: Rete / HTTP POST

3. Prova di concetto (PoC)

Richiesta POST dannosa

Note

• Il codice PHP viene iniettato all'interno del motore di formattazione markdown.
• Eseguito come utente SPIP sul server.
• L'attacco non richiede alcuna autenticazione.

4. Ricognizione con FOFA

Una query FOFA è stata utilizzata per enumerare installazioni SPIP pubbliche:

FOFA ha restituito diversi punti di metadati:

• Intestazioni HTTP
• Titoli
• Indirizzi IP e geolocalizzazione
• Stack tecnologico del server

Valore della ricognizione

1. Enumerazione dei target: identificare server SPIP CMS raggiungibili.
2. Fingerprinting delle versioni: determinare se versioni vulnerabili del plugin sono attive.
3. Prioritizzazione: selezionare i sistemi potenzialmente sfruttabili.
4. Verifica dell'exploit: validare gli endpoint utilizzando payload controllati.
5. Automazione: esportare i risultati di FOFA in targets.txt per la scansione batch.

Un host reale adatto identificato:

5. Scansione automatizzata con Nuclei

Scopo

Poiché lo sfruttamento manuale è lento, Nuclei è stato utilizzato per automatizzare il rilevamento di CVE-2024-7954 su un ampio set di target.

Comando (Template personalizzato)

• -l targets.txt carica i risultati di FOFA
• -t carica il template PoC personalizzato

Nota: il template iniziale non ha restituito alcuna corrispondenza.

Scansione CVE ampia

Questa scansione ha identificato un target reattivo:

6. Validazione e sfruttamento manuali

Passo 1 — Ispezionare l'endpoint vulnerabile

Visita:

Confermato:

• Campi di input per nome, email, messaggio
• Handler di richiesta POST adatto all'iniezione del payload

Passo 2 — Iniettare il payload PHP

Usando Burp Suite o curl, modificare il parametro message:

Payload

Passo 3 — Attivare l'esecuzione dei comandi

Visita:

Oppure usando curl:

L'output ha confermato l'esecuzione remota dei comandi.

Passo 4 — Reverse shell (accesso finale)

Un payload appositamente crafted consente un callback reverse shell, permettendo:

• whoami
• ls
• accesso shell interattivo completo

7. Osservazioni critiche

• L'exploit non autenticato aumenta drasticamente la gravità.
• La mancata sanitizzazione dell'input nel plugin è il problema principale.
• Una volta che il PHP viene iniettato e renderizzato, è possibile la compromissione completa del server.
• Reverse shell → potenziale escalation dei privilegi → presa di controllo del server.
• L'attacco è banale da automatizzare con curl, script Python o Nuclei.

8. Conclusione

Questo progetto dimostra la catena completa di sfruttamento per CVE-2024-7954, dalla ricognizione fino all'ottenimento di una shell interattiva.

Percorso di sfruttamento

1. Ricognizione (FOFA)
2. Scansione automatizzata (Nuclei)
3. Iniezione manuale del payload
4. Esecuzione di codice verificata
5. Accesso reverse shell

Lezioni di sicurezza

• La validazione rigorosa dell'input è obbligatoria per tutti i dati controllati dall'utente.
• I plugin devono seguire pratiche di codifica sicure.
• Le organizzazioni devono applicare tempestivamente le patch di sicurezza.
• Le valutazioni regolari delle vulnerabilità sono essenziali per prevenire attacchi RCE.

Questa vulnerabilità evidenzia come un plugin di formattazione del testo apparentemente innocuo possa creare una compromissione completa del sistema quando non è adeguatamente protetto.