Visão Geral da Vulnerabilidade

• ID do CVE: CVE-2024-51567
• Tipo de Vulnerabilidade: Injeção de Comandos / Bypass de CSRF
• Software Afetado: CyberPanel até as versões 2.3.6 e 2.3.7 (não corrigidas)
• Descrição: O endpoint upgrademysqlstatus em databases/views.py do CyberPanel (anterior ao commit 5b08cd6) permite que atacantes remotos executem comandos arbitrários ao contornar as proteções do secMiddleware, que apenas filtram requisições POST. Essa vulnerabilidade pode ser explorada usando metacaracteres de shell no parâmetro statusfile.
• Exploração na Natureza: Explorado pelo PSAUX em outubro de 2024.

Funcionalidades

• Obtém o token CSRF do servidor alvo para autenticar requisições
• Cria e envia um payload especialmente elaborado para contornar as proteções de CSRF
• Executa comandos remotos em um servidor CyberPanel vulnerável através do endpoint /dataBases/upgrademysqlstatus
• Suporta exploração de alvos únicos e múltiplos
• Modo interativo de execução de comandos, permitindo entrada repetida até o usuário sair
• Exibe uma mensagem de erro se o token CSRF estiver ausente ou for inválido

Pré-requisitos

• Python 3
• Módulo httpx

Instalação

1. Clone o repositório:
   root@kitploit:~

   git clone https://github.com/ajayalf/CVE-2024-51567.git
   cd CVE-2024-51567
   

2. Instale as dependências: Certifique-se de que httpx está instalado:
   root@kitploit:~

   pip install httpx
   

Uso

Alvo Único

Para executar o script em um único alvo, use o seguinte comando:

Exemplo:

Múltiplos Alvos

Para executar o script em múltiplos alvos, crie um arquivo de texto com uma lista de URLs de destino (uma URL por linha) e use o comando:

Exemplo:

Exemplo: Múltiplos Alvos

Se você quiser usar múltiplos alvos, crie um arquivo de texto chamado alvos.txt ou qualquer nome de sua preferência. O formato do arquivo deve ser uma lista de URLs, com uma URL por linha, conforme mostrado abaixo:

Exemplo de Saída

Após o script conectar a um alvo, você pode inserir comandos de shell para executar no servidor alvo. Para sair, digite exit ou quit.

Estrutura do Código

• get_CSRF_token(cliente): Obtém o token CSRF dos cookies na página principal do alvo.

  • Entrada: cliente (um objeto httpx.Client)
  • Saída: O valor do token CSRF ou um erro se não encontrado.

• pwn(cliente, token_CSRF, cmd): Envia um payload especialmente elaborado com o token CSRF e o comando desejado.

  • Entrada: cliente (um objeto httpx.Client), token_CSRF (string), cmd (string)
  • Saída: Status da requisição ou "Erro".

• exploit(cliente, cmd): Executa a função pwn no alvo para rodar o comando e imprime a saída.

  • Entrada: cliente (um objeto httpx.Client), cmd (string)

• run_exploit(alvo): Inicializa uma conexão com o alvo e inicia um loop interativo de comandos.

  • Entrada: alvo (string, URL do alvo)
  • Processo: Recebe comandos do usuário até que o usuário digite exit ou quit.

• Execução Principal: Verifica o argumento para determinar se o alvo é uma URL única ou um arquivo com múltiplos alvos.

  • Se um arquivo for fornecido, lê e executa em cada alvo da lista.
  • Se uma URL for fornecida, executa um único alvo.

Tratamento de Erros e Depuração

Se o token CSRF não for encontrado nos cookies, o script imprimirá todos os cookies recebidos e sairá com uma mensagem de erro útil.

Mensagens de Erro Comuns

• "Erro: token CSRF não encontrado nos cookies.": Isso indica que o token CSRF não foi encontrado nos cookies de resposta do servidor alvo. Soluções:
  • Verifique se o servidor envia um token CSRF nos cookies.
  • Certifique-se de que / é o endpoint correto para obter o token CSRF. Se for diferente, modifique a função get_CSRF_token adequadamente.

Referências

Para mais informações sobre esta vulnerabilidade, consulte os seguintes recursos:

• CVE-2024-51567 no NVD
• Vulnerabilidade de Execução Remota de Código no CyberPanel por Ionix
• Quais são minhas opções? CyberPanel v2.3.6 RCE Pré-Autenticação por Dreyand