CVE-2024-4040 SSTI & LFI PoC - Sfruttamento | CrushFTP

Questa è una prova di concetto per una vulnerabilità di Server Side Template Injection (SSTI) e Local File Inclusion (LFI) in CrushFTP.

Funzionalità

Sfruttando vulnerabilità di gravità critica nei server CrushFTP tramite Server Side Template Injection (SSTI) e bypass dell'autenticazione. Elevando questo exploit a una Local File Inclusion (LFI)! Questo exploit PoC serve allo scopo di automatizzare il rilevamento della vulnerabilità nei server sFTP che ospitano CrushFTP, nonché lo sfruttamento!

Passo dopo passo nel codice:

Generazione di token di sessione anonimi
Utilizzo di questi token per eseguire SSTI e creare i nostri punti di ingresso!
Chiamata dei nostri endpoint SSTI e fuga dal loro contesto per richiedere qualsiasi risorsa locale su una macchina target!

Dopo un po' di Google dorking, ho scoperto che oggi ci sono oltre 7000 portali CrushFTP pubblicamente accessibili! 😬 Questa CVE è stata divulgata solo 6 giorni fa, devo dire altro...

Utilizzo

python3 crushed.py -t https://target.com

Per specificare il tuo percorso LFI, usa l'argomento -l o --lfi:

python3 crushed.py -t https://target.com -l /etc/passwd

Fornisci la tua wordlist per eseguire LFI con -w o --wordlist. Funziona anche con l'opzione -l.

python3 crushed.py -t https://target.com -w /lfiwordlist.txt

Esempio

Dopo aver ottenuto il file sessions.obj del server vulnerabile, siamo in grado di estrarre i token di sessione di altri utenti, portando la gravità di questa vulnerabilità ancora più in alto, con il rischio di compromissione dell'account o del server.

Automazione della validazione dei token estratti

Una volta ottenuti i token dal file sessions.obj, lo script testerà le combinazioni di token contro il target. L'endpoint di destinazione è /WebInterface/function?command=getUsername&c2f={current_auth_token}, passando entrambi i token nell'header della richiesta.

Documentazione

Questa vulnerabilità è una VFS sandbox escape nel servizio di trasferimento file gestito CrushFTP che consente ad attaccanti remoti con privilegi bassi di leggere file dal filesystem al di fuori della VFS Sandbox

La Server-Side Template Injection (SSTI) in CrushFTP consente a un attaccante di eseguire codice arbitrario sul server abusando della funzione "zip" nella WebInterface.

Colpisce le versioni di CrushFTP precedenti alla 10.7.1 e alla 11.1.0 (così come le versioni legacy 9.x)

Google Dork:

intitle:"CrushFTP WebInterface" inurl:/WebInterface/login.html

Shodan Dork:

http.favicon.hash:-1022206565

Riferimenti

https://attackerkb.com/topics/20oYjlmfXa/cve-2024-4040/rapid7-analysis

https://ethicalhacking.uk/cve-2024-4040-a-critical-crushftp-server-side-template-injection/#gsc.tab=0

Disclaimer

Questo strumento è esclusivamente per scopi etici ed educativi. Usalo in modo responsabile.

CVE-2024-4040-SSTI-LFI-PoC

Più Popolari