CVE-2024-51567 エクスプロイトスクリプト

CVE-2024-51567 は、CyberPanel v2.3.6 に影響する重大なコマンドインジェクション脆弱性 CVE-2024-51567 に対する Python の概念実証（PoC）エクスプロイトスクリプトです。この脆弱性は upgrademysqlstatus エンドポイントに存在し、CSRF 保護をバイパスし、特定のパラメータでシェルメタ文字を利用することで、リモートコマンド実行（RCE）を可能にします。

⚠️ 重要な免責事項: このスクリプトは、教育目的およびあなたが所有する、またはテストする明示的な許可を得たシステムに対する正式なセキュリティテストを目的としています。このスクリプトを許可なくシステムで使用することは違法であり、法律で罰せられます。作者は誤用に対して一切の責任を負いません。常に倫理的基準と適用法を遵守してください。

目次

• 脆弱性の概要
• 特徴
• 前提条件
• インストール
• 使用方法
  • 単一ターゲット
  • 複数ターゲット
  • 例: 複数ターゲット
  • 出力例
• コード構造
• エラー処理とデバッグ
  • 一般的なエラーメッセージ
• 参考情報

脆弱性の概要

• CVE ID: CVE-2024-51567
• 脆弱性タイプ: コマンドインジェクション / CSRF バイパス
• 影響を受けるソフトウェア: CyberPanel バージョン 2.3.6 および 2.3.7（未パッチ）
• 説明: CyberPanel の databases/views.py 内の upgrademysqlstatus エンドポイント（コミット 5b08cd6 より前）は、POST リクエストのみをフィルタリングする secMiddleware 保護をバイパスすることで、リモートの攻撃者が任意のコマンドを実行することを可能にします。この脆弱性は、statusfile パラメータでシェルメタ文字を使用して悪用される可能性があります。
• 実地での悪用: 2024年10月に PSAUX によって悪用されました。

特徴

• リクエストを認証するために、ターゲットサーバーから CSRF トークンを取得します
• CSRF 保護をバイパスするために特別に作成されたペイロードを生成して送信します
• 脆弱な CyberPanel サーバー上で /dataBases/upgrademysqlstatus エンドポイントを介してリモートコマンドを実行します
• 単一および複数のターゲットの両方の悪用をサポートします
• ユーザーが終了するまでコマンド入力を繰り返すことを可能にする対話型コマンド実行モード
• CSRF トークンが欠落しているか無効な場合にエラーメッセージを提供します

前提条件

• Python 3
• httpx モジュール

インストール

1. リポジトリをクローンします:
   root@kitploit:~

   git clone https://github.com/ajayalf/CVE-2024-51567.git
   cd CVE-2024-51567
   

2. 依存関係をインストールします: httpx がインストールされていることを確認します:
   root@kitploit:~

   pip install httpx
   

使用方法

単一ターゲット

単一のターゲットに対してスクリプトを実行するには、次のコマンドを使用します:

python CVE-2024-51567.py <target-url>

例:

python CVE-2024-51567.py http://example.com

複数ターゲット

複数のターゲットに対してスクリプトを実行するには、ターゲット URL のリスト（1行に1つの URL）を含むテキストファイルを作成し、次のコマンドを使用します:

python CVE-2024-51567.py <targets.txt>

例:

python CVE-2024-51567.py targets.txt

例: 複数ターゲット

複数のターゲットを使用する場合は、targets.txt または任意の名前のテキストファイルを作成します。ファイルの形式は、以下に示すように、1行に1つの URL のリストである必要があります:

http://target1.com
http://target2.com
http://target3.com

出力例

スクリプトがターゲットに接続すると、ターゲットサーバー上で実行するシェルコマンドを入力できます。終了するには、exit または quit と入力します。

コード構造

• get_CSRF_token(client): ターゲットのメインページの Cookie から CSRF トークンを取得します。

  • 入力: client（httpx.Client オブジェクト）
  • 出力: CSRF トークンの値。見つからない場合はエラー。

• pwn(client, CSRF_token, cmd): CSRF トークンと目的のコマンドを含む細工されたペイロードを送信します。

  • 入力: client（httpx.Client オブジェクト）、CSRF_token（文字列）、cmd（文字列）
  • 出力: リクエストのステータスまたは "Error"。

• exploit(client, cmd): ターゲット上で pwn 関数を実行してコマンドを実行し、出力を表示します。

  • 入力: client（httpx.Client オブジェクト）、cmd（文字列）

• run_exploit(target): ターゲットへの接続を初期化し、対話型コマンドループを開始します。

  • 入力: target（文字列、ターゲット URL）

エラー処理とデバッグ

Cookie に CSRF トークンが見つからない場合、スクリプトは受信したすべての Cookie を出力し、役立つエラーメッセージとともに終了します。

一般的なエラーメッセージ

• "Error: CSRF token not found in cookies.": これは、ターゲットサーバーからの応答 Cookie に CSRF トークンが見つからなかったことを示します。解決策:
  • サーバーが Cookie に CSRF トークンを送信していることを確認します。
  • / が CSRF トークンを取得するための正しいエンドポイントであることを確認します。異なる場合は、関数 get_CSRF_token をそれに応じて変更します。

参考情報

この脆弱性に関する詳細については、以下のリソースを参照してください:

• NVD の CVE-2024-51567
• Ionix 著: CyberPanel のリモートコード実行の脆弱性
• Dreyand 著: What Are My Options? CyberPanel v2.3.6 Pre-Auth RCE