CVE-2024-4040 SSTI & LFI PoC - エクスプロイト | CrushFTP

これは、CrushFTP におけるサーバーサイドテンプレートインジェクション (SSTI) およびローカルファイルインクルージョン (LFI) の脆弱性に対する概念実証（PoC）です。

特徴

CrushFTP サーバーの重大度の高い脆弱性を、サーバーサイドテンプレートインジェクション (SSTI) と認証バイパスを通じて悪用します。このエクスプロイトをローカルファイルインクルージョン (LFI) に昇格させます！この PoC エクスプロイトは、CrushFTP をホストする sFTP サーバーにおける脆弱性の検出と悪用を自動化することを目的としています。

コードのステップ解説:

匿名セッショントークンの生成
これらのトークンを利用して SSTI を実行し、独自のエントリーポイントを作成！
SSTI エンドポイントを呼び出し、そのコンテキストから脱出して、ターゲットマシン上の任意のローカルリソースをリクエスト！

少し Google ダーキングを行ったところ、現在 7000 以上の公開アクセス可能な CrushFTP ポータルが稼働中であることがわかりました！ 😬 この CVE が開示されたのはわずか 6 日前です。これ以上言う必要はないでしょう...

使用方法

python3 crushed.py -t https://target.com

独自の LFI パスを指定するには、-l または --lfi 引数を使用します：

python3 crushed.py -t https://target.com -l /etc/passwd

-w または --wordlist を使用して、LFI を実行する独自のワードリストを指定できます。-l オプションでも機能します。

python3 crushed.py -t https://target.com -w /lfiwordlist.txt

例

脆弱なサーバーの sessions.obj ファイルを取得した後、他のユーザーのセッショントークンを抽出できます。これにより、アカウントまたはサーバー乗っ取りのリスクが生じ、この脆弱性の深刻度はさらに高まります。

抽出したトークンの検証の自動化

sessions.obj ファイルからトークンを取得すると、スクリプトはターゲットに対してトークンの組み合わせをテストします。ターゲットエンドポイントは /WebInterface/function?command=getUsername&c2f={current_auth_token} で、リクエストヘッダーに両方のトークンを渡します。

ドキュメント

この脆弱性は、CrushFTP の管理対象ファイル転送サービスにおける VFS サンドボックスエスケープであり、低権限のリモート攻撃者が VFS サンドボックスの外部のファイルシステム上のファイルを読み取ることを可能にします。

CrushFTP のサーバーサイドテンプレートインジェクション (SSTI) により、攻撃者は WebInterface の "zip" 関数を悪用してサーバー上で任意のコードを実行できます。

10.7.1 および 11.1.0 未満の CrushFTP バージョン（レガシー 9.x バージョンも含む）に影響します。

Google ダーク：

intitle:"CrushFTP WebInterface" inurl:/WebInterface/login.html

Shodan ダーク：

http.favicon.hash:-1022206565

参照

https://attackerkb.com/topics/20oYjlmfXa/cve-2024-4040/rapid7-analysis

https://ethicalhacking.uk/cve-2024-4040-a-critical-crushftp-server-side-template-injection/#gsc.tab=0

免責事項

このツールは純粋に倫理的かつ教育的目的のみで使用されるものです。責任を持って使用してください。

CVE-2024-4040-SSTI-LFI-PoC

人気