CVE-2024-28000 — Лаборатория WordPress LiteSpeed Cache

Авторизованное воспроизведение в локальной лаборатории CVE-2024-28000 — проблемы неаутентифицированного повышения привилегий, затрагивающей уязвимые версии плагина WordPress LiteSpeed Cache.

Область применения: В этом репозитории задокументировано тестирование, проводившееся только против изолированной, лично контролируемой виртуальной машины WordPress. Не используйте эти методы против систем, которыми вы не владеете или на тестирование которых у вас нет явного разрешения.

Результат

Уязвимость была успешно воспроизведена по всей цепочке: с атакующей ВМ Kali на изолированную цель WordPress под управлением Ubuntu с LiteSpeed Cache 6.2.0.1.

Продемонстрированный путь атаки:

1. Проведена энумерация цели WordPress и установки LiteSpeed Cache.
2. Получен доступ к неаутентифицированному обработчику асинхронного краулера LiteSpeed.
3. Запущен принудительный путь краулера, чтобы был сгенерирован уязвимый хеш симуляции роли.
4. Локально сгенерировано детерминированное пространство хешей плагина из 1 000 000 кандидатов.
5. Восстановлен действительный хеш симуляции роли удалённо с помощью ffuf, используя REST-ответ, доступный только администратору, как оракул успеха.
6. Подтверждён контекст администратора с помощью HTTP 200 от REST API пользователей WordPress.
7. Создана одноразовая учётная запись администратора через REST (HTTP 201 Created).
8. Удалена одноразовая учётная запись после сбора доказательств.
9. Более раннее контрольное тестирование подтвердило, что LiteSpeed Cache 6.4 отклоняет уязвимую технику с cookie, возвращая HTTP 401.

Топология лаборатории

Во время тестирования эксплуатации цель была помещена в сеть VMware Host-Only без маршрута по умолчанию.

Стек цели

• Ubuntu Server 22.04
• Apache 2.4.52
• WordPress 7.1
• LiteSpeed Cache 6.2.0.1 — уязвимое тестовое состояние
• LiteSpeed Cache 6.4 — исправленное состояние для сравнения

Ключевой вывод

Уязвимый хеш симуляции роли LiteSpeed Cache можно было сгенерировать и восстановить удалённо. Передача восстановленного хеша вместе с идентификатором пользователя-администратора заставляла WordPress работать в контексте администратора без обычной аутентифицированной сессии WordPress.

Воздействие было продемонстрировано созданием постоянной одноразовой учётной записи администратора через REST API WordPress.

Содержимое репозитория

.
├── README.md
├── REPORT.md
├── RUNBOOK.md
├── LICENSE
├── .gitignore
├── docs/
│   ├── architecture.md
│   ├── evidence-checklist.md
│   └── publication-redaction.md
├── scripts/
│   ├── generate_hashes.php
│   └── verify_candidate.sh
└── evidence/
    └── .gitkeep

Ответственное использование

Этот репозиторий предназначен для обучения защитному обеспечению безопасности, воспроизведения уязвимостей, проверки мер устранения и документирования портфолио в контролируемых средах.