CVE-2023-41892 Craft CMS PoC

Este repositório contém scripts de prova de conceito e um laboratório local Vulhub para reproduzir a CVE-2023-41892, uma vulnerabilidade de execução remota de código pré-autenticada no Craft CMS.

Use este projeto apenas em um laboratório local autorizado ou em outros sistemas onde você tenha permissão explícita para testar.

Estrutura do Projeto

CVE-2323-41892_PoC/
+-- README.md
+-- LFI_to_RCE.py
+-- Imagick_PoC.py
+-- Vulnhub_env/
    +-- docker-compose.yml
    +-- README.md
    +-- README.zh-cn.md
    +-- 1.png ... 5.png

Propósito dos Arquivos

Resumo da Vulnerabilidade

CVE-2023-41892 afeta versões do Craft CMS de 4.0.0-RC1 até 4.4.14. O problema foi corrigido no Craft CMS 4.4.15.

O endpoint vulnerável usado por ambos os scripts é:

/index.php?action=conditions/render

Os PoCs têm como alvo a URL padrão do laboratório local:

http://localhost:8088

Se o seu laboratório estiver rodando em outro host ou porta, atualize o valor URL próximo ao topo de LFI_to_RCE.py e Imagick_PoC.py.

Requisitos

• Docker e Docker Compose
• Python 3
• Pacote Python: requests

Instale a dependência Python:

pip install requests

Configuração do Laboratório

Inicie o ambiente vulnerável do Craft CMS:

cd Vulnhub_env
docker compose up -d

Abra o instalador do Craft CMS:

http://localhost:8088/admin/install

Use as seguintes configurações de banco de dados padrão durante a instalação:

Após a instalação, confirme que o site está acessível em:

http://localhost:8088

Uso

Execute os comandos a partir da raiz do repositório:

cd CVE-2323-41892_PoC

PoC 1: Envenenamento de Log para RCE

Execute:

python LFI_to_RCE.py

O que ele faz:

1. Envia JSON malformado contendo código PHP para o log do Craft CMS.

2. Constrói um caminho de arquivo de log usando a data local atual:

   root@kitploit:~

   ../storage/logs/web-YYYY-MM-DD.log
   

3. Usa craft\elements\conditions\users\UserCondition com \Psy\Configuration para incluir o arquivo de log envenenado.

4. Verifica se a saída de phpinfo() aparece na resposta.

Saída esperada de sucesso:

[*] Iniciando Envenenamento de Log...
[+] Payload enviado com sucesso!
[*] Iniciando LFI para RCE...
[+] phpinfo() executado com sucesso!

PoC 2: Escrita de Arquivo via Imagick MSL

Execute:

python Imagick_PoC.py

O que ele faz:

1. Envia um payload MSL através de dados de formulário multipart.
2. Dispara a criação de objetos com o gadget Imagick.
3. Tenta escrever webshell.php na raiz web.
4. Requisita http://localhost:8088/webshell.php e verifica se há phpinfo().

Saída esperada de sucesso:

[*] Enviando payload multipart/form-data para disparar o gadget Imagick...
[+] Sucesso: saída de phpinfo() encontrada.

O caminho do Imagick pode derrubar o worker PHP após o disparo do payload. No laboratório Vulhub isso ainda pode ser normal se webshell.php for escrito antes da queda.

Configuração

Ambos os scripts definem a URL alvo no topo do arquivo:

URL = "http://localhost:8088"

Altere este valor se o laboratório vulnerável estiver exposto em outro endereço.

Imagick_PoC.py verifica o arquivo gerado em:

OUTPUT_FILE = "/webshell.php"

Solução de Problemas

Os scripts não conseguem conectar

• Confirme que os contêineres estão rodando:

  root@kitploit:~

  cd Vulnhub_env
  docker compose ps
  

• Confirme que o site está acessível em http://localhost:8088.

• Verifique se outro serviço já está usando a porta 8088.

• Atualize o valor URL nos scripts Python se você alterou a porta exposta.

LFI_to_RCE.py não mostra PHP Version

• Confirme que a instalação do Craft CMS está completa.
• Confirme que o Craft CMS está escrevendo logs em storage/logs/.
• Verifique se a data do nome do arquivo de log corresponde à data do contêiner.
• Se as datas do host e do contêiner diferirem, atualize o caminho gerado web-YYYY-MM-DD.log em LFI_to_RCE.py.

Imagick_PoC.py retorna 404 para /webshell.php

• Confirme que a extensão PHP Imagick está habilitada no ambiente alvo.
• Confirme que o processo PHP pode escrever na raiz web.
• Confirme que arquivos temporários enviados são criados em /tmp/php*.
• Tente novamente uma vez se o worker PHP falhou durante a requisição de disparo.

Limpeza

Para o laboratório:

cd Vulnhub_env
docker compose down

Remova os contêineres e o volume do banco de dados se quiser uma reinstalação limpa:

docker compose down -v

Mitigação

Atualize o Craft CMS para 4.4.15 ou posterior.

Se houver suspeita de exploração, rotacione a chave de segurança do Craft CMS, as credenciais do banco de dados, os segredos da aplicação e quaisquer credenciais armazenadas no ambiente.

Referências

• Reprodução Vulhub: https://github.com/vulhub/vulhub/blob/master/craftcms/CVE-2023-41892/README.md
• Aviso do Craft CMS: https://github.com/craftcms/cms/security/advisories/GHSA-4w8r-3xrw-v25g
• Entrada NVD: https://nvd.nist.gov/vuln/detail/CVE-2023-41892