CVE-2024-28000 — WordPress LiteSpeed Cache ラボ

認可されたローカルラボ環境における CVE-2024-28000 の再現です。これは、脆弱なバージョンの LiteSpeed Cache WordPress プラグインに影響する認証なし権限昇格の問題です。

範囲: このリポジトリは、隔離された個人管理の WordPress VM に対してのみ実施されたテストを文書化したものです。所有していない、または明示的なテスト許可を得ていないシステムに対して、これらの技術を使用しないでください。

結果

この脆弱性は、LiteSpeed Cache 6.2.0.1 を実行する隔離された Ubuntu WordPress ターゲットに対して、Kali 攻撃者 VM からエンドツーエンドで正常に再現されました。

実証された攻撃経路:

1. WordPress ターゲットと LiteSpeed Cache インストールを列挙しました。
2. 認証なしの LiteSpeed 非同期クローラーハンドラーに到達しました。
3. 強制クローラーパスをトリガーし、脆弱なロールシミュレーションハッシュを生成させました。
4. 脆弱なプラグインの決定論的な 100 万候補ハッシュ空間をローカルで生成しました。
5. ffuf と管理者専用 REST レスポンスを成功オラクルとして使用し、有効なロールシミュレーションハッシュをリモートで復元しました。
6. WordPress users REST API からの HTTP 200 で管理者コンテキストを確認しました。
7. REST 経由で使い捨ての管理者アカウントを作成しました（HTTP 201 Created）。
8. 証跡収集後に使い捨てアカウントを削除しました。
9. 事前の対照テストで、LiteSpeed Cache 6.4 が脆弱な Cookie 手法を HTTP 401 で拒否することを確認しました。

ラボトポロジー

ターゲットは、エクスプロイトテスト中にデフォルトルートを持たない VMware Host-Only ネットワーク上に配置されました。

ターゲットスタック

• Ubuntu Server 22.04
• Apache 2.4.52
• WordPress 7.1
• LiteSpeed Cache 6.2.0.1 — 脆弱なテスト状態
• LiteSpeed Cache 6.4 — パッチ適用済みの比較状態

主要な発見

脆弱な LiteSpeed Cache ロールシミュレーションハッシュは、リモートで生成および復元が可能でした。復元したハッシュを管理者ユーザー ID とともに供給することで、通常の認証済み WordPress セッションなしで WordPress が管理者コンテキストで動作しました。

影響は、WordPress REST API を通じて永続的な使い捨て管理者アカウントを作成することで実証されました。

リポジトリ構成

.
├── README.md
├── REPORT.md
├── RUNBOOK.md
├── LICENSE
├── .gitignore
├── docs/
│   ├── architecture.md
│   ├── evidence-checklist.md
│   └── publication-redaction.md
├── scripts/
│   ├── generate_hashes.php
│   └── verify_candidate.sh
└── evidence/
    └── .gitkeep

責任ある使用

このリポジトリは、管理された環境における防御的セキュリティ教育、脆弱性の再現、是正措置の検証、およびポートフォリオ文書化を目的としています。