fatkz/cve-2022-24112Exploit de prova de conceito para RCE no Apache APISIX 2.12.x (CVE-2022-24112) via injeção de filter_func em Lua. Executa comandos arbitrários do sistema em alvos vulneráveis.
Este script Python é uma Prova de Conceito (PoC) para uma vulnerabilidade de execução remota de código (RCE) nas versões 2.12.0 e 2.12.1 do Apache APISIX.
A vulnerabilidade reside no uso indevido do campo Lua filter_func dentro da API de administração, permitindo que um atacante injete código Lua arbitrário que executa comandos do sistema via io.popen. A resposta do comando é retornada na resposta HTTP usando ngx.say().
⚠️ AVISO: Esta ferramenta é destinada apenas para testes autorizados e fins educacionais. Não a utilize em sistemas que você não possui ou para os quais não tem permissão explícita para testar.
requests (pip install requests)exploit.py
python3 exploit.py -d <target_domain_or_ip> -p <port> -c <command>
python3 exploit.py -d 127.0.0.1 -p 9080 -c id
python3 exploit.py --domain 192.168.1.100 --cmd "uname -a"
python3 exploit.py -d vulnerable.host.local -c "cat /etc/passwd"