fatkz/cve-2022-24112Эксплоит Proof-of-Concept для Apache APISIX 2.12.x RCE (CVE-2022-24112) через инъекцию Lua filter_func. Выполняет произвольные системные команды на уязвимых целях.
Этот скрипт на Python является доказательством концепции (PoC) для уязвимости удаленного выполнения кода (RCE) в Apache APISIX версий 2.12.0 и 2.12.1.
Уязвимость заключается в неправильном использовании поля Lua filter_func в admin API, что позволяет злоумышленнику внедрить произвольный код Lua, выполняющий системные команды через io.popen. Ответ от команды возвращается в HTTP-ответе с помощью ngx.say().
⚠️ ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ: Этот инструмент предназначен только для авторизованного тестирования и образовательных целей. Не используйте его на системах, которыми вы не владеете или на тестирование которых у вас нет явного разрешения.
requests (pip install requests)exploit.py
python3 exploit.py -d <target_domain_or_ip> -p <port> -c <command>
python3 exploit.py -d 127.0.0.1 -p 9080 -c id
python3 exploit.py --domain 192.168.1.100 --cmd "uname -a"
python3 exploit.py -d vulnerable.host.local -c "cat /etc/passwd"