🛠️ Exploração CVE-2023-4226 para Chamilo LMS

📋 Descrição

Script em Python que automatiza a exploração de CVE-2023-4226, uma vulnerabilidade de carregamento de arquivos sem restrições no Chamilo LMS (<= v1.11.24). Envia um web shell PHP baseado no PentesterMonkey e configura .htaccess para obter uma reverse shell. Mais detalhes: Advisory da STAR Labs.

🔍 Vulnerabilidade

• Produto: Chamilo LMS
• Severidade: Alta (CVSS 3.1: 8.8)
• Versões Afetadas: <= v1.11.24
• Descrição: Utilizadores com papel de aprendiz podem carregar arquivos PHP em /main/inc/ajax/work.ajax.php, obtendo RCE.
• CWE: CWE-434 (Carregamento de Arquivos Perigosos)

🚀 Funcionalidade

1. Solicita:
   • URL do alvo.
   • Cookie de sessão (ch_sid).
   • IP e porta do atacante para a reverse shell.
2. Modifica rce.php com IP e porta.
3. Executa:
   • GET a /main/work/work.php?cidReq=HW.
   • POST a /main/inc/ajax/work.ajax.php para enviar rce.php e .htaccess.
4. Mostra a URL do web shell (/app/cache/rce.php).

📦 Requisitos

• Python: requests, colorama.

  pip install requests colorama
  
  

• Arquivos: rce.php (PentesterMonkey, incluído no repositório), .htaccess (gerado pelo script).

• Rede: IP e porta para o listener (ex. nc -lvnp 4444).

🛠️ Uso

1. Clone o repositório:

   git clone https://github.com/SkyW4r33x/CVE-2023-4226
   cd CVE-2023-4226    
   

2. Atribua permissões de execução ao script:

   chmod +x CVE-2023-4226.py    
   

3. Instale dependências:

   pip install requests colorama    
   

4. Inicie o listener num terminal:

   nc -lvnp 4444    
   

5. Execute o script:

   ./CVE-2023-4226.py    
   

6. Insira:

   • URL do Chamilo.
   • Cookie ch_sid.
   • IP e porta do listener.

7. Aceda ao web shell para iniciar a reverse shell:

   http://<chamilo>/app/cache/rce.php    
   

   Exemplo: http://chamilo.local/app/cache/rce.php

🛡️ Mitigações

• Atualize para Chamilo >= v1.11.26.

• Sanitize nomes de arquivos.

• Bloqueie HTML em disable_dangerous_file().

• Adicione ao .htaccess:

  RedirectMatch 403 ^/main/inc/lib/javascript/bigupload/files
  Header set X-Content-Type-Options nosniff    
  

⚠️ Aviso Legal

Uso exclusivo para testes autorizados. O uso não autorizado é ilegal.

🙌 Créditos

• Vulnerabilidade: Ngo Wei Lin (@Creastery), STAR Labs.
• Script: SkyW4r33x