UniSharp Laravel Filemanager 未認証RCE (CVE-2024-21546)

このリポジトリには、UniSharp/laravel-filemanager パッケージ（バージョン < 2.9.1）を利用するアプリケーションにおける**未認証リモートコード実行（RCE）**を特定・悪用するためのセキュリティ評価ツール、検出テンプレート、自動化されたエクスプロイトツールキットが含まれています。

📑 目次

• 1. 脆弱性の概要
• 2. 根本原因の分析
• 3. Nuclei検出テンプレート（laravel-filemanager.yaml）
  • ローカライズされたサイトでデフォルトテンプレートが失敗する理由
  • 再作成されたテンプレートの仕様
  • Nucleiスキャンの実行
• 4. 自動化エクスプロイトツールキット（cve_2024_21546_rce.py）
  • エクスプロイト機能
  • 使用方法とパラメータ
  • 例
• 5. 修復ガイダンス

1. 脆弱性の概要

この脆弱性は、以下の2つの条件が組み合わさることで発生します：

1. 未認証ルートアクセス： ホストアプリケーションが 'auth' または 'web' ミドルウェアパイプラインを適用せずに /laravel-filemanager ルートを登録している。
2. 末尾ドット拡張子検証バイパス： アップロードバリデータが末尾のドット文字（.）を適切にサニタイズできず、攻撃者が実行可能ファイルのブロックリストをバイパスしてPHPスクリプトを公開ストレージに配置できる。

2. 根本原因の分析

A. 末尾ドットバリデータの欠陥（LfmUploadValidator.php）

v2.9.1 より前のバージョンでは、LfmUploadValidator.php はブロックリストに対してファイル拡張子を以下のようにチェックしていました：

public function extensionIsNotExcutable($unallowed_extensions)
{
    $extension = strtolower($this->file->getClientOriginalExtension());
    if (in_array($extension, $unallowed_extensions)) {
        throw new \Exception('File extension is not allowed.');
    }
    return $this;
}

攻撃者が poc.php. という名前のファイルをアップロードした場合：

• Symfonyの getClientOriginalExtension() は最後のドットに続く文字を抽出します。
• ファイル名がドットで終わるため、getClientOriginalExtension() は ""（空文字列）と評価されます。
• チェック in_array("", ['php', 'html']) は false と評価され、拡張子ブロックをバイパスします。

B. 拡張子なし解決とリネームチェーン

Windowsおよび特定のストレージドライバでは、ファイルは拡張子なしのハッシュ（<hash>）として永続化されます。エクスプロイトはLFMの RenameController（GET /laravel-filemanager/rename?file=<hash>&new_name=runner.php）を連鎖させ、アップロードしたペイロードをアクティブな .php ファイルにリネームし、/storage/app/public/file-manager-files/items/runner.php で即座にWeb実行を許可します。

3. Nuclei検出テンプレート（laravel-filemanager.yaml）

ローカライズされたサイトでデフォルトテンプレートが失敗する理由

アップストリームのコミュニティテンプレート（http/exposed-panels/laravel-filemanager.yaml）（https://github.com/projectdiscovery/nuclei-templates/blob/main/http/exposed-panels/laravel-filemanager.yaml）は、ハードコードされた英語文字列マッチャーに依存していました：

matchers:
  - type: word
    words:
      - "Laravel FileManager" # Fails on localized deployments or non english versions

アプリケーションがローカライズされている場合（例：アラビア語、フランス語、中国語）、英語の文字列がHTML本文に存在しないため、偽陰性が発生します。

再作成されたテンプレートの仕様

最新化されたテンプレートは、不変のベンダーアセットパスとアップロードフォームアクションをマッチングすることでパネルを検出します：

id: laravel-filemanager

info:
  name: Laravel File Manager - Panel Detect
  author: digitalsurgn
  severity: critical
  description: Laravel File Manager panel was detected.
  reference:
    - https://github.com/UniSharp/laravel-filemanager
  classification:
    cvss-metrics: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:N
    cwe-id: CWE-200
  metadata:
    max-request: 1
  tags: panel,laravel,filemanager,fileupload,intrusive

http:
  - method: GET
    path:
      - "{{BaseURL}}/laravel-filemanager?type=Files"

    matchers-condition: and
    matchers:
      - type: word
        part: body
        words:
          - "vendor/laravel-filemanager"
          - "laravel-filemanager/upload"
        condition: or

      - type: status
        status:
          - 200

Nucleiスキャンの実行

nuclei -u https://target.com/ -t laravel-filemanager.yaml

4. 自動化エクスプロイトツールキット（cve_2024_21546_rce.py）

スタンドアロンのPythonツール（cve_2024_21546_rce.py）は、組み込みのWAF回避と自己クリーンアップ機能を備えた、エンドツーエンドの未認証エクスプロイトを自動化します。

エクスプロイト機能

• プロトコルとポートの自動ネゴシエーション： ターゲットがHTTPかHTTPSかを自動的に検出し、非標準のカスタムポートをサポートします。
• 事前アクセス検証： エクスプロイトを試行する前に、/laravel-filemanager が認証なしでアクセス可能であることを確認します。
• 動的ファイル追跡： ディレクトリリスト（jsonitems）の前後スナップショットを取得し、ハードコードされたフォルダ名やファイル名に依存せずにアップロードされたハッシュを特定します。
• WAF回避： PHPショートタグ（<?=）、動的関数呼び出し（('pas'.'sthru')）、Base64エンコードされた X-Cmd ヘッダーを使用して検査ルールを回避します。
• 対話型シェルモード： 継続的な対話型シェルセッションをサポートします（--interactive）。
• ゼロフットプリント自動クリーンアップ： 各コマンド実行後にドロップしたウェブシェルを自動的に削除します。

使用方法とパラメータ

python3 cve_2024_21546_rce.py [OPTIONS]

例

1. 対話型モード（ターゲット、ポート、コマンドをプロンプトで入力）

python3 cve_2024_21546_rce.py

2. 単一コマンド実行（CLI）

python3 cve_2024_21546_rce.py -t xyz.com -c "whoami"

3. 非標準ポートでの対話型シェル

python3 cve_2024_21546_rce.py -t 10.10.10.50 -p 8080 --interactive

5. 修復ガイダンス

1. パッケージのアップグレード： Composerを使用して unisharp/laravel-filemanager をバージョン 2.9.1 以降に更新します：
   root@kitploit:~

   composer update unisharp/laravel-filemanager
   

2. 認証ミドルウェアの適用： config/lfm.php で全てのファイルマネージャールートが認証によって保護されていることを確認します：
   root@kitploit:~

   'middlewares' => ['web', 'auth'],
   

3. 公開ストレージの制限： 公開アップロードディレクトリ（例：/storage/）で .php スクリプトの実行を拒否するようにWebサーバールールを設定します。