Adminer CVE-2021-43008 PoC

Exploit de prova de conceito para CVE-2021-43008 afetando o Adminer.

Esta vulnerabilidade permite que um servidor MySQL malicioso solicite arquivos locais arbitrários da máquina cliente quando LOAD DATA LOCAL INFILE está ativado.

O repositório contém ferramentas para reproduzir o ataque.

Conteúdo do repositório

exploit.py
Script Python que automatiza a interação com o Adminer.

Funcionalidades:

• autentica no Adminer
• extrai token CSRF
• envia consultas SQL
• aciona LOAD DATA LOCAL INFILE
• analisa o conteúdo do arquivo retornado

setup_mysql_server.sh
Script auxiliar que prepara um servidor MySQL/MariaDB malicioso para exploração.

O script:

• configura o MariaDB para ouvir em uma porta personalizada
• ativa local_infile
• cria um banco de dados e um usuário
• prepara o ambiente para exploração

Requisitos

Python 3.x

Bibliotecas: requests beautifulsoup4 lxml

Uso

Execute o script de configuração:

sudo ./script.sh <IP> <PORT>

Em seguida, execute o exploit:

python exploit.py <adminer_url> <mysql_host> <username> <password> <database> <file_path>