CVE-2024-28000 — Laboratório WordPress LiteSpeed Cache

Reprodução autorizada em laboratório local da CVE-2024-28000, uma vulnerabilidade de escalonamento de privilégios não autenticada que afeta versões vulneráveis do plugin LiteSpeed Cache para WordPress.

Escopo: Este repositório documenta testes realizados apenas contra uma VM WordPress isolada e controlada pessoalmente. Não use estas técnicas contra sistemas que você não possui ou para os quais não tenha permissão explícita de teste.

Resultado

A vulnerabilidade foi reproduzida com sucesso de ponta a ponta a partir de uma VM atacante Kali contra um alvo WordPress Ubuntu isolado executando o LiteSpeed Cache 6.2.0.1.

Caminho de ataque demonstrado:

1. Enumeração do alvo WordPress e da instalação do LiteSpeed Cache.
2. Acesso ao handler de crawler assíncrono do LiteSpeed sem autenticação.
3. Acionamento do caminho de crawler forçado para que o hash vulnerável de simulação de função fosse gerado.
4. Geração local do espaço de hash determinístico de 1.000.000 de candidatos do plugin vulnerável.
5. Recuperação remota do hash válido de simulação de função usando ffuf e uma resposta REST exclusiva de Administrador como oráculo de sucesso.
6. Confirmação do contexto de Administrador com HTTP 200 da API REST de usuários do WordPress.
7. Criação de uma conta de Administrador descartável via REST (HTTP 201 Created).
8. Exclusão da conta descartável após a coleta de evidências.
9. Testes de controle anteriores confirmaram que o LiteSpeed Cache 6.4 rejeita a técnica de cookie vulnerável com HTTP 401.

Topologia do Laboratório

O alvo foi posicionado em uma rede Host-Only da VMware sem rota padrão durante os testes de exploração.

Stack do Alvo

• Ubuntu Server 22.04
• Apache 2.4.52
• WordPress 7.1
• LiteSpeed Cache 6.2.0.1 — estado de teste vulnerável
• LiteSpeed Cache 6.4 — estado de comparação corrigido

Descoberta Principal

Um hash vulnerável de simulação de função do LiteSpeed Cache pôde ser gerado e recuperado remotamente. O fornecimento do hash recuperado juntamente com o ID de usuário do Administrador fez o WordPress operar em contexto de Administrador sem uma sessão normal autenticada do WordPress.

O impacto foi demonstrado pela criação de uma conta de Administrador descartável persistente por meio da API REST do WordPress.

Conteúdo do Repositório

.
├── README.md
├── REPORT.md
├── RUNBOOK.md
├── LICENSE
├── .gitignore
├── docs/
│   ├── architecture.md
│   ├── evidence-checklist.md
│   └── publication-redaction.md
├── scripts/
│   ├── generate_hashes.php
│   └── verify_candidate.sh
└── evidence/
    └── .gitkeep

Uso Responsável

Este repositório se destina à educação em segurança defensiva, reprodução de vulnerabilidades, validação de remediação e documentação de portfólio em ambientes controlados.