🛠️ Chamilo LMS 向け CVE-2023-4226 エクスプロイト

📋 説明

Chamilo LMS（<= v1.11.24）の無制限ファイルアップロード脆弱性である CVE-2023-4226 のエクスプロイトを自動化する Python スクリプト。PentesterMonkey ベースの PHP Web シェルをアップロードし、.htaccess を構成して リバースシェル を実現します。詳細: STAR Labs のアドバイザリ

🔍 脆弱性

• 製品: Chamilo LMS
• 深刻度: 高 (CVSS 3.1: 8.8)
• 影響を受けるバージョン: <= v1.11.24
• 説明: 学習者ロールのユーザーが /main/inc/ajax/work.ajax.php に PHP ファイルをアップロードでき、RCE に至ります。
• CWE: CWE-434（危険なファイルのアップロード）

🚀 機能

1. 要求するもの:
   • ターゲットの URL
   • セッション Cookie（ch_sid）
   • リバースシェル用の攻撃者の IP とポート
2. rce.php を IP とポートで変更します。
3. 実行:
   • /main/work/work.php?cidReq=HW への GET
   • /main/inc/ajax/work.ajax.php への POST で rce.php と .htaccess をアップロード
4. Web シェルの URL を表示します（/app/cache/rce.php）

📦 要件

• Python: requests、colorama

  root@kitploit:~

  pip install requests colorama
  
  

• ファイル: rce.php（PentesterMonkey、リポジトリに同梱）、.htaccess（スクリプトが生成）

• ネットワーク: リスナー用の IP とポート（例: nc -lvnp 4444）

🛠️ 使用方法

1. リポジトリをクローン:

   root@kitploit:~

   git clone https://github.com/SkyW4r33x/CVE-2023-4226
   cd CVE-2023-4226    
   

2. スクリプトに実行権限を付与:

   root@kitploit:~

   chmod +x CVE-2023-4226.py    
   

3. 依存関係をインストール:

   root@kitploit:~

   pip install requests colorama    
   

4. 別のターミナルでリスナーを起動:

   root@kitploit:~

   nc -lvnp 4444    
   

5. スクリプトを実行:

   root@kitploit:~

   ./CVE-2023-4226.py    
   

6. 入力するもの:

   • Chamilo の URL
   • ch_sid Cookie
   • リスナーの IP とポート

7. Web シェルにアクセスしてリバースシェルを開始:

   root@kitploit:~

   http://<chamilo>/app/cache/rce.php    
   

   例: http://chamilo.local/app/cache/rce.php

🛡️ 緩和策

• Chamilo >= v1.11.26 に更新する

• ファイル名をサニタイズする

• disable_dangerous_file() で HTML をブロックする

• .htaccess に以下を追加:

  root@kitploit:~

  RedirectMatch 403 ^/main/inc/lib/javascript/bigupload/files
  Header set X-Content-Type-Options nosniff    
  

⚠️ 法的免責事項

許可されたテスト専用です。無許可での使用は違法です。

🙌 クレジット

• 脆弱性: Ngo Wei Lin（@Creastery）、STAR Labs
• スクリプト: SkyW4r33x