CVE-2024-2961 (CNEXT) Script de adaptação de canal XXE

Adapta o script de exploração de leitura de arquivos PHP -> RCE do cnext-exploits oficial da Ambionics para o cenário de upload de SVG + XXE para leitura arbitrária de arquivos (tipo de desafio "avatar uploader" do PolarisCTF 2026).

Pré-requisitos

• Alvo: Linux + glibc < 2.39 (Ubuntu 20.04 precisa de < 2.31-0ubuntu9.15, USN-6737-1 já corrigido) + PHP (testado com PHP 7.3)
• Primitiva de leitura: capaz de fazer o PHP ler caminhos arbitrários via XXE / LFI, com suporte a php://filter, data://, zlib (o script check_vulnerable() valida automaticamente)
• Local: Python 3.10+, pip install -r requirements.txt (pwntools, ten, requests)

Diferenças em relação ao original (pontos de adaptação)

1. Reescrita da classe Remote: traduz "fazer o PHP ler um caminho" para o ciclo de ida e volta do XXE do desafio: upload de SVG com entidade externa -> atualizar avatar_name -> solicitar o endpoint de parsing para obter o eco.
2. Separador de filtros | -> /: quando a URL da entidade XML contém |, o parsing do libxml falha (testado: DOMDocument retorna documento vazio); php://filter suporta filtros nus sem prefixo separados por /, equivalente a read=a|b|c.
3. LIBC_FILE alterado para caminho relativo (funciona tanto em Windows quanto em Linux).
4. download_file passou a usar open() para escrita (o Path exportado pela biblioteca ten é uma subclasse de PosixPath, impossível de instanciar no Windows).

Uso

1. Edite a classe Remote no início do script: preencha o endereço da API do desafio e as credenciais.
2. Traduza a primitiva de leitura do alvo para Remote.send/download (a implementação de exemplo é para o formato de interface "upload de SVG + parsing na visualização"; outros formatos seguem o mesmo padrão).
3. Execute (o comando não tem eco; use redirecionamento para gravar o arquivo e depois leia-o de volta, ou use -s com temporização para validar):

python cnext-exploit-xxe-polaris.py <url> '/readflag > /var/www/html/uploads/flag_out.txt' -s 2

Após ver EXPLOIT SUCCESS, use a primitiva de leitura para ler o arquivo de saída.

Observações

• Uso exclusivo para competições CTF e pesquisa de segurança em ambientes autorizados.
• Upstream: https://github.com/ambionics/cnext-exploits (Charles Fol @cfreal_, Ambionics/LEXFO)
• Vulnerabilidade: CVE-2024-2961 (escrita fora dos limites no iconv ISO-2022-CN-EXT do glibc), aviso GLIBC-SA-2024-0004; análise do princípio: https://www.ambionics.io/blog/iconv-cve-2024-2961-p1