CVE-2024-23692：HFS文件服务器软件存在RCE 漏洞，PoC 已发布

在 Rejetto HTTP 文件服务器 (HFS) 2.x 版本中发现了一个严重漏洞，编号为CVE-2024-23692 ，对使用此软件进行文件共享的组织和个人构成重大风险。该漏洞的 CVSS 评分为9.8，允许远程攻击者在受影响的服务器上执行任意代码而无需身份验证，可能导致数据泄露、勒索软件攻击和整个系统被入侵。

Rejetto HFS 是一款简单的 Web 文件服务器，可通过网络或互联网共享文件。它创建了一个 Web 界面，使用户能够直接将文件下载或上传到运行 HFS 软件的机器上。尽管该服务器简单易用，但由于发现 SSTI 漏洞，它已成为攻击者的目标。

CVE-2024-23692漏洞特别影响 HFS 版本 2.4.0 RC7 和 2.3m。根本原因在于服务器处理用于呈现 HTTP 响应的默认模板的方式。此模板包含来自请求的搜索查询参数的内容，该内容未正确转义，从而启用了 SSTI。

在正常操作下，符号和宏会被编码以防止 SSTI。但是，通过强制服务器取消转义某些字符，攻击者可以将任意宏注入模板。这是通过精心设计的字符序列实现的，如以下 HTTP 请求所示：

echo -ne "GET /?search=%25x%25url%25:%host%}{.exec|notepad.}{.break.} HTTP/1.1rnHost:rnrn" | nc 192.168.86.35 80

在此漏洞中，%url%符号未转义，允许 URL 的其余部分回显到服务器端内容中。通过操纵搜索查询参数，攻击者可以关闭默认模板标记并注入任意命令，例如在此示例中打开记事本。

Stephen Fewer 将此漏洞的可利用性评定为非常高，因为远程未经身份验证的攻击者可以利用此漏洞。但是，由于 HFS 通常不用作企业级 Web 服务器，因此攻击者的价值被认为很低。尽管如此，受影响系统受到损害的可能性仍然很大，尤其是对于依赖 HFS 进行个人或小型企业文件共享的用户而言。

安全研究员Arseniy Sharoglazov发现了该漏洞，Stephen Fewer 提供了 Metasploit 的详细分析和漏洞利用模块。有关详细的技术信息和Metasploit 模块，用户可以参考Stephen Fewer 在 AttackerKB 上发表的原始文章。（https://mohemiv.com/all/rejetto-http-file-server-2-3m-unauthenticated-rce/）

此漏洞最令人担忧的方面之一是缺少针对 HFS 版本 2.x 的补丁，因为它的维护者不再支持该版本。强烈建议用户升级到Rejetto HFS版本 3.x，该版本不受此漏洞影响。

原文始发于微信公众号（独眼情报）：CVE-2024-23692：HFS文件服务器软件存在RCE 漏洞，PoC 已发布