Forgotten

Executive summary — Forgotten hides a LimeSurvey instance whose web installer was never completed nor locked down. By standing up an attacker-controlled MySQL reachable over the VPN, the wizard can be finished end-to-end, creating a Superadmin account of the attacker's choosing — without exploiting any authentication vulnerability. From there, LimeSurvey's Plugin Manager allows uploading a malicious ZIP that gives RCE inside a Docker container. The container's environment variables leak the service's real password, which is reusable over SSH on the host. Inside the container, that same password also unlocks sudo ALL, and a shared bind mount between host and container lets a SUID bash binary be dropped that — with no user-namespace remapping — grants root on the host directly.

The clue: nmap's Service Info header shows Host: 172.17.0.2, a default Docker range IP (172.17.0.0/16) — a sign from the very start that the HTTP service runs inside a container behind the host's proxy/Apache.

Resumen ejecutivo — Forgotten esconde una instancia de LimeSurvey cuyo instalador web nunca se completó ni se bloqueó. Levantando un MySQL propio alcanzable por VPN, el wizard se completa de principio a fin y crea una cuenta Superadmin a medida del atacante — sin explotar ninguna vulnerabilidad de autenticación. Desde ahí, el Gestor de plugins de LimeSurvey permite subir un ZIP malicioso que da RCE dentro de un contenedor Docker. Las variables de entorno del contenedor filtran la contraseña real del servicio, reutilizable por SSH en el host. Dentro del contenedor, esa misma contraseña también sirve para sudo ALL, y un bind mount compartido entre host y contenedor permite depositar un binario bash con bit SUID que, al no haber remapeo de namespaces de usuario, da root en el host directamente.

La pista: nmap detecta en la cabecera Service Info un Host: 172.17.0.2, una IP del rango Docker por defecto (172.17.0.0/16) — indica desde el principio que el servicio HTTP corre dentro de un contenedor detrás de un proxy/Apache del host.